セキュリティ上の欠陥により、数百万台のスバル車が遠隔からロック解除され、追跡される可能性がある

スバルの脆弱性の発見につながったシャーとカリーの調査は、カリーの母親の Starlink アプリがドメイン SuruCS.com に接続していることを発見したことから始まりました。このドメインは従業員用の管理ドメインであることがわかりました。そのサイトにセキュリティ上の欠陥がないか調べたところ、電子メール アドレスを推測するだけで従業員のパスワードをリセットでき、電子メールを見つけた従業員のアカウントを乗っ取ることができることがわかりました。パスワードのリセット機能では、確かに 2 つのセキュリティの質問への回答が求められましたが、それらの回答はスバルのサーバーではなくユーザーのブラウザでローカルに実行されるコードでチェックされ、安全装置が簡単に回避されてしまうことが判明しました。 「実際には、これにつながった複数のシステム上の欠陥がありました」とシャー氏は言います。

二人の研究者は、LinkedIn でスバル スターリンク開発者の電子メール アドレスを見つけ、その従業員のアカウントを乗っ取り、すぐにそのスタッフのアクセスを利用して、姓、郵便番号、電子メール アドレス、電話番号でスバルの所有者を検索できることが分かったと述べています。 Starlink 設定にアクセスするには、番号、またはナンバー プレートを使用します。数秒以内に、以下のビデオに示すように、リモートで車のロックを解除したり、クラクションを鳴らしたり、点火を開始したり、位置を特定したりする機能など、そのユーザーの車両の Starlink 機能の制御を再割り当てできるようになりました。

これらの脆弱性だけでも、ドライバーにとっては重大な盗難や安全上のリスクが生じます。カリーとシャーは、ハッカーがストーカー行為や窃盗の対象者をターゲットにし、誰かの車の位置を調べ、いつでも車のロックを解除することができた可能性があると指摘しています。ただし、泥棒が車のイモビライザーを無効にするためには、何らかの方法で別のテクニックも使用する必要があるでしょう。キーなしで追い出されるのを防ぐコンポーネント。

こうした自動車のハッキングや追跡技術だけをみても、決してユニークなものではありません。昨年の夏、カリーともう一人の研究者であるネイコ・リベラは、 WIREDにデモンストレーションした 起亜自動車が販売する何百万台もの車両のどれでも同様のトリックを実行できるだろう。過去 2 年間にわたり、カリーとシャーもその一員であるより大きな研究者グループが、 車に影響を与えるウェブベースのセキュリティ脆弱性を発見 アキュラ、BMW、フェラーリ、ジェネシス、ホンダ、ヒュンダイ、インフィニティ、メルセデス・ベンツ、日産、ロールスロイス、トヨタによって販売されています。