Veiligheid / Hackers leggen kwetsbaarheden geconnecteerde auto's bloot

Sam Curry en zijn team wilden nagaan hoe veilig de apps in de geconnecteerde auto’s van een vijftiental constructeurs zijn, met name die waarmee je toegang tot het voertuig kunt krijgen of functies op afstand kunt activeren. Ze legden echter talrijke en uiteenlopende beveiligigingsgebreken bloot, de ene al ernstiger dan de andere. Zoals te lezen is op zijn blog, was het voor hen relatief eenvoudig om toegang te krijgen tot accounts en gegevens te verzamelen, met name van eigenaars van een Ferrari, Ford, Jaguar, Land Rover, Porsche of Toyota. Ze kregen ook toegang tot gevoelige gegevens van BMW, Mercedes en Rolls-Royce.

Activering op afstand

Het is nog zorgwekkender voor Acura, Genesis, Honda, Hyundai, Kia en Nissan. Curry's team slaagde erin de auto's op afstand te ont- of vergrendelen en zelfs de motor te starten. Ze konden ook op afstand de koplampen of de claxon activeren. Dat laatste was ook het geval in modellen van Mercedes en Porsche, al konden die niet worden ontgrendeld en gestart. Van Porsche werd wel de voertuiglokalisatie op afstand gehackt. Bij Kia konden ze de panoramische camera’s activeren om de omgeving rond het voertuig in de gaten te houden.

Chaos creëren

Curry testte ook de beveiliging van het Spireon-volgsysteem dat door veel Amerikaanse hulpdiensten wordt gebruikt. Dat bevat heel wat kwetsbaarheden. Zo slaagden ze erin een volledige beheerderstoegang te krijgen, waarmee je het voertuig kunt ontgrendelen, de motor kunt starten, het contact kunt uitschakelen, de navigatie kunt activeren, voertuigen kunt lokaliseren, de software kunt bijwerken (en dus infecteren) en de controle kunt overnemen van alle wagenparken die het systeem gebruiken – het gaat dan om 15,5 miljoen voertuigen waaronder die van politiediensten en ambulances.

Bovendien konden ze op afstand codes uitvoeren op de centrale systemen voor het beheer van gebruikersaccounts, apparaten, wagenparken en alle gegevens over heel Spireon en zijn 1,2 miljoen gebruikers. Kortom, een kwaadwillende hacker of groep zou een echte chaos kunnen creëren om hulpdiensten in de war te brengen en te blokkeren.