باحثان فتحا أبواب سيارات متصلة عن بعد وشغّلا محركاتها لدى شركتَي سيارات

وَجَدَ باحثان أمنيان، Shubham Shah و Sam Curry، ثغرات في أنظمة خلفية لسيارات متصلة في شركتين غير مسمّاتين لصناعة السيارات خلال أوائل 2026، ما سمح بفتح الأبواب عن بعد وتشغيل المحرك في مركبات متصلة بالإنترنت. سُرعان ما تم إصلاح المشكلات، لكنها كشفت ممارسات أمنية ضعيفة، بما في ذلك بيانات اعتماد مكتوبة في الشفرة (hard-coded) وتدفق مصادقة متعددة العوامل مُعدّ بشكل خاطئ. كما وجد الباحثان أن الثغرات يمكن أن تكشف موقع المركبة، والمسافة المقطوعة، والوقود، والمدى، وحالات الأبواب، والمعلومات الشخصية للعملاء.

المركبات المتأثرة والنطاق

لم يكشف الباحثان (white-hat) أسماء شركات صناعة السيارات المتأثرة. حصل Shah و Curry على الوصول إلى مركبات الشركة 1 في الولايات المتحدة، بينما كانت مركبات الشركة 2 عرضة لفك قفل غير مخطط له في أستراليا والولايات المتحدة وكندا. بناءً على الفحص البصري وحده، قد تكون الشركة الثانية Toyota، لأن فيديو عرض الاختراق يبدو أنه يصور سيارة RAV4 SUV. يتناول أحد تقاريرهما شؤون ForgeRock لكلا الشركتين، بينما تناول مقال Shah تفاصيل الشركة 2 وبنيتها التحتية لسيارات متصلة في أستراليا.

تستخدم كلتا شركتي صناعة السيارات المتأثرتين خدمات ForgeRock للمصادقة والتفويض. وبحسب الباحثين، باستثناء حالة صغيرة واحدة، نشأت الثغرات من تطبيقات وممارسات أمنية ضعيفة وليس من ForgeRock نفسه.

كيف عُثِر على الثغرات

بدأ Shah بتفكيك تطبيق Android للشركة 2 وجد نداءات شبكة إلى نطاق فرعي لقياسات عن بعد (telematics). سرعان ما وجد موقع admintool يحتوي صفحة TEST HARNESS مع مطالبة تسجيل دخول. كانت المشكلة الأولى أن نقطة النهاية هذه كانت قابلة للوصول من الإنترنت على نطاق واسع.

كانت المشكلة الثانية حزمة JavaScript كان يجب تقليصها من الشفرة غير الضرورية، لكنها احتوت بدلاً من ذلك على شفرة لجميع وظائف الخلفية. كما احتوت تلك الحزمة على مفاتيح API مكتوبة في الشفرة (hard-coded)، وهي كافية للسماح لـ Shah بسحب معلومات العملاء. بعد ربط الطلبات وربط لوحة ترخيص بـ VIN باستخدام معلومات متاحة للعموم، ربط الباحثان ذلك VIN بعميل وجدوا بريده الإلكتروني.

كما وجد الفريق أن حزمة JavaScript احتوت على بيانات اعتماد مسؤول (administrator) مكتوبة في الشفرة، على الأرجح مخصصة لبيئة staging. ساعدت تلك البيانات في كشف تجزئات كلمات مرور المستخدمين، لكن التجزئات كانت SHA-512، لذا كان كسرها غير ممكن. كما وجد الباحثان pinService قابل للوصول عبر جدار تطبيقات وب (Web Application Firewall) ودالة getUser يمكنها استرجاع معلومات المستخدمين باستخدام البريد الإلكتروني والهاتف والمعرّف (ID).

الاستيلاء على الحسابات وأوامر المركبات

بعد قضاء بضعة أسابيع في دراسة كيفية استخدام ForgeRock، خلص الباحثان إلى أن أسهل مسار كان إنشاء رمز وصول (access token) لأي مستخدم. استخدموا GPT-5.6 Sol Ultra لتخمين أسماء المسارات (brute-force) ووجدوا مساراً غير محمي سمح في النهاية بكتابة كلمة مرور أي مستخدم، مما مكّن جزئياً من الاستيلاء على الحساب. بقيت المصادقة متعددة العوامل، لكن البيئة الأسترالية سمحت للمستخدمين بتجاوز MFA بالكامل.

مع تبديل الرموز (token shuffling) عبر نقاط النهاية والتطبيق المحمول، تمكن الباحثان من إنشاء رموز وصول والانتحال الكامل لأي حساب مستخدم. ثم أرسلوا طلب API لأمر فتح الباب، وفتحت السيارة الاختبارية على الفور. كما كشفت الثغرات موقع المركبة، والمسافة المقطوعة، والوقود، والمدى، وحالات الأبواب، والمعلومات الشخصية للعملاء.

المصادر: Tom's Hardware