Uvod u sigurnosne ranjivosti Volkswagena
U današnje vrijeme, automobili su postali mnogo više od samo vozila – oni su postali povezana računala na kotačima. Ova transformacija donosi mnoge prednosti, ali i značajne sigurnosne izazove. Jedan od najznačajnijih primjera je nedavno otkrivena sigurnosna ranjivost u aplikaciji My Volkswagen koja je bila izložena osjetljivim osobnim podacima korisnika.
Saznanje o ranjivostima
Na kraju 2024. godine, istraživač kibernetičke sigurnosti Vishal Bhaskar odlučio je testiratiovu aplikaciju nakon kupnje unaprijed vlasničkog Volkswagena. Tada je otkrio da, kada pokuša povezati svoje vozilo s aplikacijom, dobiva jedinstvenu lozinku (OTP) poslanju na telefon prethodnog vlasnika. Ovaj problem otkriva ozbiljan propust u sigurnosti: aplikacija nije primjenjivala mehanizme zaključavanja nakon nekoliko neuspješnih pokušaja.
Razvoj alata za napad
Bhaskar, ne zadovoljavajući se stanjem stvari, koristio je Burp Suite za analizu mrežnog prometa i razvio Python skriptu koja mu je omogućila da upotrijebi metodu grube sile kako bi prešao preko četveroznamenkastog OTP-a. Nažalost, ovo je bila samo vrh sante leda, jer su se mnoge ranjivosti otkrile u sustavima Volkswagena.
Glavne sigurnosne mane
Bhaskar je identificirao tri ključna sigurnosna problema:
-
Unutarnje vjerodajnice na vidiku: Jedna od otkrivenih API krajnjih točaka izložila je unutarnje korisničke podatke, uključujući lozinke i tokene. Ovakvo izlaganje predstavlja ozbiljan sigurnosni rizik, jer napadači mogu koristiti ove informacije za daljnje provale.
-
Osobni podaci povezani s VIN-om: Druga ranjivost omogućila je pristup profilima kupaca putem samo jednog VIN-a vozila. Ovo otkriće omogućilo je pristup osobnim podacima poput imena, telefonskih brojeva i adresa e-pošte, što predstavlja ozbiljnu prijetnju privatnosti.
- Povijest usluge automobila: Treća ranjivost otkrila je kompletnu povijest usluga svaki put kada se mogao unijeti VIN. Ova informacija može uključivati pritužbe kupaca i rezultate anketa o zadovoljstvu. Pristup ovim podacima predstavlja rizik za vlasnike vozila, a informacije mogu pasti u pogrešne ruke.
Potencijalne posljedice
Ove ranjivosti ne samo da omogućuju neovlašteni pristup osobnim podacima, već i potencijalnu kontrolu nad vozilima. Napadači mogu:
- Pristupiti trenutnim lokacijama vozila.
- Pribaviti osjetljive osobne podatke o vlasnicima.
- Upoznati se s cjelovitom historijom usluga automobila.
- Teoretski manipulirati automobilom na daljinu.
Stručnjaci, poput Denisa Laskova iz Ey Il, ističu mogućnosti da hakeri mogu pratiti korisnike u stvarnom vremenu.
Odgovornost proizvođača
Bhaskar je izvijestio o ovim ranjivostima Volkswagenovom timu 23. studenog 2024., a nakon višemjesečne komunikacije, Volkswagen je potvrdio da su sve ranjivosti zakrpane 6. svibnja 2025. godine. Ovaj incident naglašava potrebu za poboljšanjem sigurnosti kod povezanih automobila i prednost koju proizvođači automobila trebaju dati cyber-sigurnosti, kako bi zaštitili osobne podatke korisnika.
Važnost edukacije
Kako se tehnologija razvija, tako i napadi postaju sofisticiraniji. Edukacija korisnika o sigurnosnim rizicima i pravilnom korištenju povezanih automobila ključna je za dodanu sigurnost u ovom digitalnom dobu. Samo svjesni korisnici mogu pomoći u zaštiti svojih podataka i vozila, a proizvođači moraju nastaviti raditi na jačanju sigurnosti svojih sustava.
U ovim vremenima brzih tehnoloških promjena, sigurnost ne smije biti samo poslijednja stavka na popisu prioriteta – ona mora biti u središtu svih inovacija.
