İki otomobil markasında kritik güvenlik açığı: Araçların kilitleri uzaktan açıldı, motorları çalıştırıldı

Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, yayımladıkları raporda iki otomobil üreticisinin müşteri hesaplarını yöneten ForgeRock adlı kimlik yönetimi altyapısını incelediklerini açıkladı. Her iki üreticinin de mobil uygulamalarına giriş bu altyapı üzerinden yapılıyordu.

Araştırmacılar, şirketlerin talebi üzerine marka adlarını açıklamadı. İncelenen sistemlerde yönetim paneline doğrudan erişim güvenlik duvarıyla engelleniyordu. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı yorumlaması, araştırmacıların panele ulaşmasına olan sağladı.

Panel, hem kullanıcı adı hem de parola olarak hala'admin' bilgisini kabul etti. Araştırmacılar, sunucuya eriştikten sonra izinli bir test hesabının e-posta adresini ve şifresini değiştirerek mobil uygulama üzerinden yeni bir oturum açtı.

Böylece aracın konumuna ve uygulamanın desteklediği uzaktan kumanda işlevlerine erişebildiler. Hesap bilgilerindeki değişiklik, araç sahibinin telefonundaki mevcut oturumu kapatmadı. Shah, araç sahibi otomobilin yanındayken kapıların kilidini açtı ve motoru çalıştırdı.

NTV'de yer alan bilgilere göre, Shah’ın ayrı raporunda Avustralya’daki sistemde, test ortamı için hazırlanmış yönetici bilgilerinin bir JavaScript dosyasına gömülü olduğu ve aynı bilgilerin müşterilere hizmet veren sistemde de çalıştığı görüldü. Araştırmacılar, bu yöntemle izinli bir test aracının kapı kilidini açtı.

Shah, iki çalışmanın birlikte ABD, Kanada ve Avustralya’daki bağlı araçlara uzaktan komut gönderilebildiğini gösterdiğini belirtiyor. Curry ve Shah, Şubat 2026'da Amerika Birleşik Devletleri'nde yalnızca kendi onay veren araç sahiplerinin otomobillerinde tam saldırıyı test ettiler.

İki üretici, araç üzerinde denenen açığı bildirimin ardından aynı gün giderdi ve etkilenen erişim bilgilerini yeniledi. Avustralya’daki açığın ne zaman kapatıldığı ve bu yöntemlerin araştırmacılar dışında kullanılıp kullanılmadığı kamuya açık raporlarda belirtilmedi.