חוקרים פרצו מרחוק למכוניות מחוברות של שני יצרני רכב

שני חוקרי אבטחה, שובהם שאה וסאם קארי, מצאו בראשית 2026 פגיעויות במערכות ה-backend של מכוניות מחוברות אצל שני יצרני רכב ששמותיהם לא נמסרו, שאפשרו לפתוח דלתות ולהניע מנוע מרחוק ברכבים המחוברים לאינטרנט. הבעיות תוקנו במהירות, אך הן חשפו נוהלי אבטחה רופפים, ובהם פרטי התחברות מוטבעים בקוד ותהליך אימות רב-גורמי שהוגדר באופן שגוי. החוקרים מצאו גם שהפגיעויות חשפו מיקום, קילומטראז', דלק, טווח נסיעה, מצב דלתות ומידע אישי של לקוחות.

הרכבים שנפגעו וההיקף

השניים לא חשפו את שמות יצרני הרכב שנפגעו. שאה וקארי השיגו גישה לרכבי יצרן 1 בארצות הברית, ואילו רכבי יצרן 2 היו חשופים לשחרור לא מתוכנן של מנעולים באוסטרליה, בארצות הברית ובקנדה. על סמך בדיקה חזותית בלבד, ייתכן שיצרן 2 הוא טויוטה, מפני שנראה כי בסרטון ההדגמה של הפריצה מוצג רכב RAV4 SUV. אחד מהמאמרים שלהם סוקר את הסוגיה הקשורה ל-ForgeRock בשתי החברות, ואילו המאמר של שאה מפרט את יצרן 2 ואת תשתית הרכבים המחוברים שלו באוסטרליה.

שני יצרני הרכב שנפגעו משתמשים בשירותי האימות וההרשאה של ForgeRock. לדברי החוקרים, למעט חריג אחד קטן, הפגיעויות נבעו מיישומים ונוהלי אבטחה לקויים ולא מ-ForgeRock עצמה.

כיצד נמצאו הפגיעויות

שאה החל בפירוק (decompilation) של אפליקציית ה-Android של יצרן 2 ומצא קריאות רשת לתת-דומיין של טלמטיקה. עד מהרה הוא איתר נתיב בשם admintool שהכיל דף TEST HARNESS עם בקשת התחברות. הבעיה הראשונה הייתה שנקודת הקצה הזאת הייתה נגישה מהאינטרנט הפתוח.

הבעיה השנייה הייתה חבילת JavaScript שהייתה אמורה להיות נקייה מקוד מיותר, אך הכילה במקום זאת קוד של כל הפונקציונליות של ה-backend. החבילה כללה גם מפתחות API מוטבעים בקוד, שהספיקו כדי ששאה ישלוף מידע על לקוחות. לאחר שרשור בקשות וחיבור לוחית רישוי ל-VIN באמצעות מידע פומבי, החוקרים קישרו את ה-VIN ללקוח ומצאו את כתובת הדוא"ל שלו.

הצוות מצא גם שהחבילה הכילה פרטי התחברות של מנהל מערכת מוטבעים בקוד, שנועדו ככל הנראה לסביבת staging. פרטים אלה חשפו את ה-hash של סיסמאות המשתמשים, אך מכיוון שמדובר היה ב-SHA-512, פיצוחם היה בלתי מעשי. החוקרים איתרו גם את pinService, שהיה נגיש דרך חומת אש ליישומי רשת (WAF), ואת הפונקציה getUser, שיכלה לשלוף מידע על משתמשים לפי דוא"ל, טלפון ומזהה.

השתלטות על חשבונות ופקודות לרכב

לאחר כמה שבועות של לימוד אופן השימוש ב-ForgeRock, הסיקו החוקרים שהמסלול הקל ביותר הוא להנפיק אסימון גישה לכל משתמש. הם השתמשו ב-GPT-5.6 Sol Ultra כדי לאתר שמות נתיבים בשיטת כוח גס ומצאו נתיב לא מוגן שאפשר להם לדרוס את הסיסמה של כל משתמש, ובכך איפשר השתלטות חלקית על החשבון. האימות הרב-גורמי עדיין היה קיים, אך הסביבה האוסטרלית אפשרה למשתמשים לדלג על ה-MFA לחלוטין.

באמצעות החלפת אסימונים בין נקודות קצה לאפליקציה בנייד, הצליחו החוקרים להנפיק אסימוני גישה ולהתחזות לחלוטין לכל חשבון משתמש. לאחר מכן הם שלחו בקשת API לפקודת פתיחת הדלת, ומכונית המבחן נפתחה מיד. הפגיעויות חשפו גם מיקום, קילומטראז', דלק, טווח נסיעה, מצב דלתות ומידע אישי של לקוחות.

מקורות: Tom's Hardware