Pierwsza z luk, ta poważniejsza, wiąże się z możliwością wykorzystania numeru VIN. Cyberprzestępca, który wejdzie w posiadanie numeru identyfikacji pojazdu, może go przypisać do swojego konta na portalu BMW ConnectedDrive. Dzięki temu zyska dostęp do wielu funkcji samochodu, w tym do najgorszego – możliwości otworzenia auta bez posiadania kluczyka.
Druga z luk umożliwia zaś atakującemu zresetowanie hasła użytkownika na stronie BMW i ustawienie własnego. Obie podatności zostały odkryte przez naukowców z Vulnerability Laboratory, którzy zajmują się bezpieczeństwem. Zostały one zgłoszone niemieckiemu koncernowi, ale do tej pory nie doczekano się odpowiedzi, a co gorsza, luki nie zostały załatane.
Jak wyjaśniają osoby, które znalazły podatność, w systemie BMW ConnectedDrive to numer VIN wykorzystywany jest do rozpoznania i połączenia się z konkretnym samochodem. Przy pierwszym logowaniu należy podać poprawny VIN, ale z wykorzystaniem luki można pominąć walidację VIN. Haker po ominięciu mechanizmu bezpieczeństwa może więc zyskać zdalny dostęp do innego auta BMW.
Z obecnych informacji wynika, że największym zagrożeniem jest możliwość otworzenia auta bez kluczyka. Miejmy nadzieję, że na tym się skończy. Wcześniej słyszeliśmy, że cyberprzestępcy w samochodzie Jeepa mogli zyskać dostęp nawet do systemu sterowania hamulcami, a jak łatwo się domyśleć, takie coś może skończyć się tragedią.
