Rubare una Kia? Per gli Hacker basta una Targa, lo Smartphone e un Click!

Redazione RHC : 27 Settembre 2024 11:35

I ricercatori di sicurezza hanno scoperto vulnerabilità critiche nel portale dei concessionari Kia che consentono agli aggressori di rubare silenziosamente le auto parcheggiate di questo marchio. I problemi identificati consentono di hackerare qualsiasi modello Kia rilasciato dopo il 2013 utilizzando solo la targa dell’auto.

Per la prima volta nel 2022, i ricercatori sulla sicurezza, tra cui il “cacciatore di vulnerabilità” Sam Curry, hanno identificato bug di sicurezza critici in più di una dozzina di marchi automobilistici. Allora, le vulnerabilità consentivano agli aggressori di rilevare, bloccare, avviare o sbloccare da remoto oltre 15 milioni di automobili di marchi premium come Ferrari, BMW, Rolls Royce e Porsche.

Questa volta , Curry ha riferito che i difetti scoperti l’11 giugno 2024 nel portale Kia Connect consentivano l’accesso al controllo di qualsiasi veicolo Kia con apparecchiatura remota, anche senza avere un abbonamento Kia Connect attivato.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Inoltre, le vulnerabilità hanno esposto informazioni personali dei proprietari dei veicoli, inclusi nomi, numeri di telefono, indirizzi e-mail e indirizzi fisici. Gli aggressori potrebbero anche aggiungersi al sistema come secondo utente all’insaputa del proprietario.

Per dimostrare il problema, un team di ricercatori ha creato uno strumento che permetteva di utilizzare solo una targa per aggiungere auto al proprio “garage virtuale” e quindi bloccare, sbloccare, avviare o spegnere da remoto il motore, suonare il clacson o localizzare l’auto su una mappa.

Dopo aver effettuato l’accesso al portale del rivenditore Kia (kiaconnect.kdealer.com), hanno registrato un account rivenditore e generato un token di accesso valido. Questo token forniva l’accesso alle API backend dei concessionari, fornendo informazioni critiche sui proprietari dei veicoli e il pieno controllo sulle funzioni remote del veicolo.

Gli aggressori potrebbero utilizzare questa API per ottenere le seguenti funzionalità:

• Generare un token dal dealer e riceverlo dalla risposta HTTP;
• Ottenere l’accesso all’e-mail e al numero di telefono del proprietario dell’auto;
• Modificare i diritti di accesso utilizzando i dati ricevuti;
• Aggiungere il tuo indirizzo email all’account dell’auto per controllare la tua auto da remoto.

“La risposta HTTP conteneva il nome, il numero di telefono e l’indirizzo e-mail del proprietario dell’auto. Siamo stati in grado di accedere al portale del rivenditore utilizzando le nostre normali credenziali dell’app e un’intestazione del canale modificata”, ha spiegato Curry.

Utilizzando il VIN (numero di identificazione del veicolo), gli aggressori potrebbero utilizzare un’API per tracciare, sbloccare, avviare o persino suonare il clacson di un veicolo all’insaputa del proprietario.

A causa delle lacune scoperte, l’accesso non autorizzato all’auto potrebbe essere avvenuto di nascosto, poiché il proprietario non ha ricevuto alcuna notifica dell’hacking o della modifica dei diritti di accesso.

Tuttavia, tutte le vulnerabilità sono già state risolte. Secondo Curry, lo strumento che dimostra l’hacking non è mai stato pubblicato e il team Kia ha confermato che le vulnerabilità non sono state utilizzate per scopi dannosi.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli