İki Otomobil Markasında Güvenlik Açığı: Uzaktan Erişim Sağlandı, Motorları Çalıştırıldı

İki farklı otomobil markasına ait araçların kilitleri uzaktan açılarak motorları çalıştırıldı. Siber güvenlik araştırmacıları, mobil uygulamaların sunucularına varsayılan "admin" kullanıcı adı ve şifresini kullanarak erişim sağladı.

Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, yayımladıkları raporda iki otomobil üreticisinin müşteri hesaplarını yöneten ForgeRock adlı kimlik yönetimi altyapısını incelediklerini açıkladı.

Her iki üreticinin de mobil uygulamalarına giriş bu altyapı üzerinden yapılıyordu. Araştırmacılar, şirketlerin talebi üzerine marka adlarını açıklamadı.

İncelenen sistemlerde yönetim paneline doğrudan erişim güvenlik duvarıyla engelleniyordu. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı yorumlaması, araştırmacıların panele ulaşmasına imkan verdi. Panel, hem kullanıcı adı hem de parola olarak hala “admin” bilgisini kabul ediyordu.

Platformun sahibi Ping Identity, kendi güvenlik kılavuzunda bu panelin canlı sistemde kaldırılmasını veya erişim bilgilerinin değiştirilerek korunmasını öneriyor.

NTV'nin aktardığına göre araştırmacılar, sunucuya eriştikten sonra izinli bir test hesabının e-posta adresini ve şifresini değiştirerek mobil uygulama üzerinden yeni bir oturum açtı. Böylece aracın konumuna ve uygulamanın desteklediği uzaktan kumanda işlevlerine erişebildiler. Hesap bilgilerindeki değişiklik, araç sahibinin telefonundaki mevcut oturumu kapatmadı. Shah, araç sahibi otomobilin yanındayken kapıların kilidini açtı ve motoru çalıştırdı.

Shah’ın ayrı raporuna göre Avustralya’daki sistemde, test ortamı için hazırlanmış yönetici bilgilerinin bir JavaScript dosyasına gömülü olduğu ve aynı bilgilerin müşterilere hizmet veren sistemde de çalıştığı görüldü. Araştırmacılar, bu yöntemle izinli bir test aracının kapı kilidini açtı. Shah, iki çalışmanın birlikte ABD, Kanada ve Avustralya’daki bağlı araçlara uzaktan komut gönderilebildiğini gösterdiğini belirtiyor.

Curry ve Shah, Şubat 2026'da Amerika Birleşik Devletleri'nde yalnızca kendi onay veren araç sahiplerinin otomobillerinde tam saldırıyı test ettiler. İki üretici, araç üzerinde denenen açığı bildirimin ardından aynı gün giderdi ve etkilenen erişim bilgilerini yeniledi.

Avustralya’daki açığın ne zaman kapatıldığı ve bu yöntemlerin araştırmacılar dışında kullanılıp kullanılmadığı kamuya açık raporlarda belirtilmedi.