A partir de uma vulnerabilidade em um serviço popular para veículos conectados nos Estados Unidos, hackers podiam (a distância) localizar, desbloquear, acionar as luzes, buzinar e dar partida. A descoberta do problema foi feita pelo engenheiro de segurança Sam Curry, que compartilhou detalhes no Twitter.
Na base da vulnerabilidade, estava a Sirius XM, que fornece uma assinatura de rádio via satélite, além de alimentar sistemas telemáticos e de entretenimento dos carros. Os modelos em risco seriam de marcas como BMW, Honda, Jaguar, Land Rover, Nissan, Toyota entre outras. Segundo a empresa, seus recursos estão presentes em mais de 12 milhões de veículos conectados.
As informações manipuladas por esses sistemas conectados vão desde localização GPS e velocidade de tráfego a rastreamento de chamadas, comandos de voz e por aí vai. Com esses dados, os veículos conseguem fornecer uma gama de recursos inteligentes.
Dentre esses recursos, estão os de detecção automática de colisão, partida remota do motor, alertas de veículo roubado, navegação e a capacidade de travar ou destravar remotamente o carro. Justamente, como explicou o engenheiro de segurança, funcionalidades no alvo dos criminosos.
Vulnerabilidade em autenticação dos donos dos veículos
Curry apontou que a vulnerabilidade encontrada estava na autenticação dos clientes da Sirius XM realizada por meio de aplicativos móveis das marcas – como MyHonda ou Nissan Connected. Resumidamente, esses apps vinculam o perfil do usuário com o VIN, sigla para Vehicle Identification Number, registro universal dos veículos automotivos produzidos.
Em um procedimento de testes baseado nessa falha, o engenheiro conseguiu obter o nome do proprietário do veículo, número de telefone, endereço e especificações do carro. Então, ele tentou executar comandos usando o VIN e descobriu que poderia controlar remotamente os veículos, conseguindo trancar ou destrancar, dar partida e executar outras funções.
Vulnerabilidade já corrigida
Após o engenheiro alertar a Sirius XM sobre a falha, enviando detalhes sobre o que encontrou, ela corrigiu o problema rapidamente. De acordo com a empresa, em nenhum momento, nenhum assinante ou outros dados foram comprometidos por causa da falha.
As informações são do Olhar Digital.