02.10.2024
Группа хакеров-белоручек обнаружила уязвимость в безопасности миллионов автомобилей Kia, подключенных к интернету. Впервые получив доступ в июне, хакеры обнаружили, что к затронутым уязвимостью автомобилям - как старым Kia Sportage 2014 года, так и новым Carnival 2025 года - можно было легко получить доступ, используя их номерные знаки, что позволяло удаленно выполнять определенные функции автомобиля.
Если вам интересно, почему об этой уязвимости стало известно только недавно, то это потому, что хакеры не предавали проблему огласке до тех пор, пока Kia не подтвердила, что устранила ее. Сэм Карри, один из этичных хакеров, обнаруживших ошибку в системе безопасности, показал процесс взлома на видео ниже, используя инструмент, созданный в качестве доказательства концепции. На своем сайте samcurry.net он также подробно описал хронологию событий с момента, когда его группа впервые увидела проблему, и их общение с Kia до того, как автопроизводитель выложил исправление.
Какие функции были затронуты?
Карри подробно описал функции, к которым можно было получить удаленный доступ на взломанных автомобилях через сайт Kia Owners и приложение Kia Connect для iOS. Эти функции включают в себя геолокацию, блокировку/разблокировку, запуск/остановку, звуковой сигнал и свет, а также камеру - аналогично тому, что хакеры смогли получить удаленный доступ к автомобилям Nissan и Honda несколько лет назад. Важно отметить, что чем старше автомобиль, тем меньше функций мог получить хакер, хотя, как оказалось, геолокация была наиболее доступной функцией даже в самых старых пострадавших Kia.
Эти функции были легко доступны в течение 30 секунд, независимо от того, была ли у автомобиля активная подписка Kia Connect или нет. Помимо функций, Карри заявил, что личная информация владельца, включая имя, номер телефона, адрес электронной почты и физический адрес, была доступна, и что злонамеренные хакеры могли легко добавить себя в качестве второго пользователя без ведома жертвы. Хуже того, не будет никакого уведомления о том, что произошел взлом.
Есть более насущная проблема
В этом разоблачении есть и другие глубинные проблемы, которые автопроизводители должны решать немедленно, а не отрицать их. На сайте Карри он упоминает, что они попытались проверить уязвимость системы безопасности Kia только после того, как два года назад была обнаружена более распространенная проблема, в которой участвовали "более десятка автопроизводителей". Карри утверждает, что они обнаружили критические проблемы, которые позволили бы хакерам получить доступ к 15,5 миллионам автомобилей и выполнять удаленные функции, как описано выше.
Карри говорит, что пострадавшие автопроизводители уже отреагировали на проблему, но поскольку ошибки безопасности все еще присутствовали в автомобилях Kia спустя два года после первоначального обнаружения, почему мы уверены, что они не существуют и в других автомобилях других автопроизводителей? Остается надеяться, что это последний раз, когда марка сталкивается с проблемой безопасности, ведь в прошлом году Kia возглавляла рейтинги угнанных автомобилей.
