Una serie di case automobilistiche, da Acura a Toyota, sono afflitte da vulnerabilità di sicurezza all’interno dei loro veicoli che potrebbero consentire agli hacker di accedere a informazioni di identificazione personale (PII), bloccare i proprietari dei veicoli e persino prendere il controllo di funzioni come l’avvio e l’arresto del motore del veicolo. Secondo un team di sette ricercatori di sicurezza, i cui sforzi sono stati descritti in dettaglio sul blog dello specialista di sicurezza delle applicazioni Web Sam Curry, le vulnerabilità nelle applicazioni e nei sistemi interni delle case automobilistiche hanno permesso di inviare comandi utilizzando solo il VIN (numero di identificazione del veicolo), visibile attraverso il parabrezza dell’auto.
In totale, il team ha scoperto gravi problemi di sicurezza presso case automobilistiche come BMW, Ferrari, Ford, Volvo e molte altre, in Europa, Asia e Stati Uniti. Ha inoltre riscontrato problemi presso fornitori e società telematiche, tra cui Spireon, che sviluppa soluzioni di tracciamento dei veicoli basate su GPS. Un portavoce del BMW Group ha dichiarato a Dark Reading che la sicurezza informatica e dei dati ha la “massima priorità” per l’azienda e che monitora continuamente il panorama dei sistemi per individuare eventuali vulnerabilità o minacce alla sicurezza.
Il portavoce aggiunge che la vulnerabilità menzionata nel rapporto è nota dall’inizio di novembre ed è stata trattata secondo le “procedure operative standard di sicurezza” di BMW, ad esempio il programma bug-bounty. “I problemi di vulnerabilità affrontati sono stati chiusi entro 24 ore e non abbiamo alcuna indicazione di fughe di dati”, afferma il portavoce. “Non sono stati colpiti né compromessi sistemi IT relativi ai veicoli. Nessun account di clienti o dipendenti del BMW Group è stato compromesso”.
Questo è solo l’ultimo problema di sicurezza venuto alla luce. A marzo, la telemetria della società di sicurezza dei sistemi industriali Dragos ha individuato i server di comando e controllo Emotet che comunicavano con diversi sistemi di produttori automobilistici. Il malware è comunemente usato come vettore di infezione iniziale per diffondere il ransomware. A dicembre, almeno tre applicazioni mobili create su misura per consentire agli automobilisti di avviare o sbloccare a distanza i loro veicoli sono risultate avere vulnerabilità di sicurezza che potrebbero consentire a malintenzionati non autenticati di fare lo stesso da lontano.
