Samochody z GPS celem atakujących. Hakerzy mogą zdalnie wyłączyć silnik

Złe wieści dla wszystkich posiadaczy nowoczesnych i rozbudowanych zabezpieczeń do samochodów, które wykorzystują lokalizatory GPS. Jeden z hakerów informuje, że udało mu się włamać do dziesiątek tysięcy kont w aplikacjach, które służą do śledzenia lokalizacji samochodów. Jak twierdzi, taki dostęp daje mu możliwość zdalnego wyłączenia silników w części pojazdów. O szczegółach informuje serwis Motherboard.

Redaktorom serwisu udało się skontaktować z hakerem o pseudonimie L&M, który oświadcza, że udało mu się uzyskać dostęp łącznie do ponad 27 tysięcy kont w aplikacjach iTrack oraz ProTrack. Służą one do monitoringu pojazdów, a w praktyce są wykorzystywane głównie przez firmy.

Hakerowi udało się zalogować na cudze konta przez brak odpowiedzialności samych użytkowników. Okazało się bowiem, że wiele osób nie zmieniło domyślnego hasła 123456, które chroniło dostęp do danych. L&M stworzył skrypt, aby metodą siłową zalogować się na losowe konta. Wykorzystał do tego wspomniane hasło i bazę milionów popularnych loginów.

L&M dodaje, że choć dostęp daje mu możliwość wyłączenia silników wielu pojazdów, to nie zamierza korzystać z tej opcji. Chce tylko zwrócić uwagę na problem bezpieczeństwa i najsłabsze ogniwo takich sytuacji, którym jest nieodpowiedzialny użytkownik.

Możliwość śledzenia lokalizacji tysięcy pojazdów to tylko jedno z zagrożeń. Opcja wyłączenia silników wielu samochodów mogłoby natomiast doprowadzić do poważniejszych w skutkach zdarzeń w ruchu drogowym. Warto jednak dodać, że opcja zdalnego wyłączenia silnika dostępna jest tylko wtedy, gdy pojazd stoi lub porusza się z niewielką prędkością.

Haker skontaktował się z producentami wymienionych aplikacji, by poprosić o wynagrodzenie za swoje odkrycie, a jednocześnie niewyrządzenie szkód. Jak podaje Motherboard, L&M nie dzieli się szczegółami, ale zaznacza, że dostał to, czego chciał. W międzyczasie producent ProTrack poprosił już wszystkich swoich użytkowników o zmianę hasła. Producenci iTrack jak na razie nie zareagowali na kontakt.

Opisywany problem z przejęciem kont do aplikacji śledzących lokalizację pojazdów to już drugi taki przypadek w ostatnim czasie. W marcu informowaliśmy o lukach w aplikacjach Viper i Pandora, które działały w parze z autoalarmamy wyposażonymi w lokalizatory GPS. W tamtym przypadku problemem nie były jednak domyślne hasła stosowane przez użytkowników, ale niedopracowany interfejs programistyczny.