Volkswagen Automobili Hakerisani – Izloženi osobni podaci o vlasnicima i uslugama

Uvod u sigurnosne ranjivosti Volkswagena

U današnje vrijeme, automobili su postali mnogo više od samo vozila – oni su postali povezana računala na kotačima. Ova transformacija donosi mnoge prednosti, ali i značajne sigurnosne izazove. Jedan od najznačajnijih primjera je nedavno otkrivena sigurnosna ranjivost u aplikaciji My Volkswagen koja je bila izložena osjetljivim osobnim podacima korisnika.

Saznanje o ranjivostima

Na kraju 2024. godine, istraživač kibernetičke sigurnosti Vishal Bhaskar odlučio je testiratiovu aplikaciju nakon kupnje unaprijed vlasničkog Volkswagena. Tada je otkrio da, kada pokuša povezati svoje vozilo s aplikacijom, dobiva jedinstvenu lozinku (OTP) poslanju na telefon prethodnog vlasnika. Ovaj problem otkriva ozbiljan propust u sigurnosti: aplikacija nije primjenjivala mehanizme zaključavanja nakon nekoliko neuspješnih pokušaja.

Razvoj alata za napad

Bhaskar, ne zadovoljavajući se stanjem stvari, koristio je Burp Suite za analizu mrežnog prometa i razvio Python skriptu koja mu je omogućila da upotrijebi metodu grube sile kako bi prešao preko četveroznamenkastog OTP-a. Nažalost, ovo je bila samo vrh sante leda, jer su se mnoge ranjivosti otkrile u sustavima Volkswagena.

Glavne sigurnosne mane

Bhaskar je identificirao tri ključna sigurnosna problema:

1. Unutarnje vjerodajnice na vidiku: Jedna od otkrivenih API krajnjih točaka izložila je unutarnje korisničke podatke, uključujući lozinke i tokene. Ovakvo izlaganje predstavlja ozbiljan sigurnosni rizik, jer napadači mogu koristiti ove informacije za daljnje provale.

2. Osobni podaci povezani s VIN-om: Druga ranjivost omogućila je pristup profilima kupaca putem samo jednog VIN-a vozila. Ovo otkriće omogućilo je pristup osobnim podacima poput imena, telefonskih brojeva i adresa e-pošte, što predstavlja ozbiljnu prijetnju privatnosti.

3. Povijest usluge automobila: Treća ranjivost otkrila je kompletnu povijest usluga svaki put kada se mogao unijeti VIN. Ova informacija može uključivati pritužbe kupaca i rezultate anketa o zadovoljstvu. Pristup ovim podacima predstavlja rizik za vlasnike vozila, a informacije mogu pasti u pogrešne ruke.

Potencijalne posljedice

Ove ranjivosti ne samo da omogućuju neovlašteni pristup osobnim podacima, već i potencijalnu kontrolu nad vozilima. Napadači mogu:

• Pristupiti trenutnim lokacijama vozila.
• Pribaviti osjetljive osobne podatke o vlasnicima.
• Upoznati se s cjelovitom historijom usluga automobila.
• Teoretski manipulirati automobilom na daljinu.

Stručnjaci, poput Denisa Laskova iz Ey Il, ističu mogućnosti da hakeri mogu pratiti korisnike u stvarnom vremenu.

Odgovornost proizvođača

Bhaskar je izvijestio o ovim ranjivostima Volkswagenovom timu 23. studenog 2024., a nakon višemjesečne komunikacije, Volkswagen je potvrdio da su sve ranjivosti zakrpane 6. svibnja 2025. godine. Ovaj incident naglašava potrebu za poboljšanjem sigurnosti kod povezanih automobila i prednost koju proizvođači automobila trebaju dati cyber-sigurnosti, kako bi zaštitili osobne podatke korisnika.

Važnost edukacije

Kako se tehnologija razvija, tako i napadi postaju sofisticiraniji. Edukacija korisnika o sigurnosnim rizicima i pravilnom korištenju povezanih automobila ključna je za dodanu sigurnost u ovom digitalnom dobu. Samo svjesni korisnici mogu pomoći u zaštiti svojih podataka i vozila, a proizvođači moraju nastaviti raditi na jačanju sigurnosti svojih sustava.

U ovim vremenima brzih tehnoloških promjena, sigurnost ne smije biti samo poslijednja stavka na popisu prioriteta – ona mora biti u središtu svih inovacija.