İki otomobil markasının güvenlik açığıyla araçlar uzaktan çalıştırıldı
Siber güvenlik araştırmacıları, iki otomobil markasının mobil uygulamalarında varsayılan şifre açığı tespit ederek araçlara uzaktan erişim sağladı.
İki otomobil markasının araçlarına uzaktan ulaşım sağlanarak kilitleri açıldı ve araçlar çalıştırıldı. Mobil uygulama sunucularına varsayılan olan "admin" kullanıcı adı ve şifresi ile girildi.
Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, yayımladıkları raporda iki otomobil üreticisinin müşteri hesaplarını yöneten ForgeRock adlı kimlik yönetimi altyapısını incelediklerini duyurdu. Her iki üreticinin de mobil uygulamalarına giriş bu altyapı üzerinden yapılıyordu. Araştırmacılar, şirketlerin talebi üzerine marka adlarını açıklamadı.
Yönetim Paneli Varsayılan Şifreyle Çalışıyordu
İncelenen sistemlerde yönetim paneline doğrudan erişim güvenlik duvarıyla engelleniyordu. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı yorumlaması, araştırmacıların panele ulaşmasına imkan verdi. Panel, hem kullanıcı adı hem de parola olarak hala “admin” bilgisini kabul ediyordu.
Platformun sahibi Ping Identity, kendi güvenlik kılavuzunda bu panelin canlı sistemde kaldırılmasını veya erişim bilgilerinin değiştirilerek korunmasını öneriyor.
Araştırmacılar, sunucuya eriştikten sonra izinli bir test hesabının e-posta adresini ve şifresini değiştirerek mobil uygulama üzerinden yeni bir oturum açtı. Böylece aracın konumuna ve uygulamanın desteklediği uzaktan kumanda işlevlerine erişebildiler. Hesap bilgilerindeki değişiklik, araç sahibinin telefonundaki mevcut oturumu kapatmadı. Shah, araç sahibi otomobilin yanındayken kapıların kilidini açtı ve motoru çalıştırdı.
Teknoloji kategorisinden bir başka haber:
Avustralya’da Ayrı Bir Açık Bulundu
Shah’ın ayrı raporuna göre Avustralya’daki sistemde, test ortamı için hazırlanmış yönetici bilgilerinin bir JavaScript dosyasına gömülü olduğu ve aynı bilgilerin müşterilere hizmet veren sistemde de çalıştığı görüldü. Araştırmacılar, bu yöntemle izinli bir test aracının kapı kilidini açtı. Shah, iki çalışmanın birlikte ABD, Kanada ve Avustralya’daki bağlı araçlara uzaktan komut gönderilebildiğini gösterdiğini belirtiyor.
Curry ve Shah, Şubat 2026'da Amerika Birleşik Devletleri'nde yalnızca kendi onay veren araç sahiplerinin otomobillerinde tam saldırıyı test ettiler. İki üretici, araç üzerinde denenen açığı bildirimin ardından aynı gün giderdi ve etkilenen erişim bilgilerini yeniledi.
Avustralya’daki açığın ne zaman kapatıldığı ve bu yöntemlerin araştırmacılar dışında kullanılıp kullanılmadığı kamuya açık raporlarda belirtilmedi.
