È stata individuata una vulnerabilità nel sistema di accesso online per i concessionari di una delle più grandi case automobilistiche al mondo: è bastato scavare un po’ nel codice della pagina. Il ricercatore di sicurezza Eaton Zwer di Harness ha riferito di essere riuscito a sfruttare la vulnerabilità per creare un account amministrativo con diritti di accesso completi al portale interno del produttore. La violazione ha consentito di ottenere dati riservati dei clienti, informazioni sul veicolo e persino di controllare da remoto le funzioni dell’auto, incluso lo sblocco.
Zwer, che in precedenza aveva individuato bug nei sistemi delle case automobilistiche , scoprì il problema per caso, durante un progetto personale svolto nel fine settimana. Scoprì che, al caricamento della pagina di login, il browser del cliente caricava un codice errato che poteva essere modificato per bypassare tutti i meccanismi di autenticazione. Ciò rese possibile la creazione di un account di “amministratore nazionale” che dava accesso a oltre 1.000 concessionarie negli Stati Uniti.
Attraverso questa interfaccia, era possibile visualizzare i dati personali dei clienti, inclusi i recapiti e alcune informazioni finanziarie, nonché gestire i servizi relativi ai veicoli. Tra le altre cose, ciò includeva il monitoraggio in tempo reale dei veicoli aziendali e trasportati, l’utilizzo di sistemi telematici e persino l’annullamento delle spedizioni dei veicoli.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Uno degli elementi più inquietanti del sistema era lo strumento di ricerca clienti, che richiedeva solo nome e cognome per accedere alle informazioni su un’auto specifica e sul suo proprietario. Zver ha utilizzato come esempio il numero di telaio di un’auto parcheggiata in strada e ha confermato che questo era sufficiente per associare l’auto a una persona specifica. Secondo lui, era possibile avviare la procedura di trasferimento dell’auto sotto il controllo di un altro utente semplicemente confermando la propria intenzione, senza alcuna verifica. Ha testato questo scenario con il consenso di un amico ed è riuscito a controllare efficacemente l’auto di qualcun altro tramite un’app mobile.
Non meno pericolosa era la possibilità di accedere ai sistemi collegati di altri concessionari utilizzando un unico login. Grazie al meccanismo SSO (Single Sign-On), l’account amministratore creato poteva non solo spostarsi tra diverse parti dell’infrastruttura, ma anche imitare l’accesso di un altro utente. Ciò consentiva l’accesso ai diritti, ai dati e ai sistemi del dipendente preso di mira a sua insaputa: un meccanismo simile era già stato utilizzato in precedenza nel portale dei concessionari.
Il ricercatore ha definito l’architettura una “bomba a orologeria“, osservando che gli utenti potevano visualizzare e utilizzare informazioni critiche, tra cui accordi, lead e analisi interne, senza essere scoperti. L’azienda avrebbe corretto la vulnerabilità entro una settimana dalla divulgazione privata del problema nel febbraio 2025. Tuttavia, un’indagine ha dimostrato che l’exploit non era mai stato utilizzato prima: Zwer sarebbe stato il primo a scoprire e segnalare le falle nel sistema.
Secondo Zver, la radice del problema era ancora una volta qualcosa di banale: falle nel sistema di autenticazione API. Solo due vulnerabilità hanno messo a nudo l’intero mondo interno della rete di concessionari. Zver ritiene che questo sia un ulteriore promemoria: non appena il controllo degli accessi crolla, crolla tutto.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Hacking
Innovazione
Cultura
Cybercrime
Cyber Italia