兩大車廠連網車輛遭駭:可遠端解鎖車門並發動引擎
兩名資安研究人員利用連網車輛的後端漏洞,成功遠端解鎖車門並發動引擎,影響兩大車廠的車款。
- 資安研究人員 Shubham Shah 與 Sam Curry 在 2026 年初成功入侵兩大車廠的後端基礎架構。
- 他們可對具備網際網路連線的車輛遠端解鎖車門並發動引擎。
- 系統還洩露車輛位置、行駛里程、油量、車門狀態與客戶個人資料。
- 成因包括寫死的管理員憑證、暴露在 JavaScript 中的 API key,以及遭繞過的 MFA。
- 相關漏洞已修補,兩家車廠的名稱尚未公開。
文章目录
兩家車廠的連網基礎架構遭入侵
2026 年初,資安研究人員 Shubham Shah 與 Sam Curry 入侵了兩大車廠負責車輛連網服務的後端基礎架構。結果是他們能對任何具備網際網路連線的車輛遠端開門,也能在全球多個地區發動引擎。
相關漏洞已迅速修補。漏洞存在於車廠行動應用程式所使用的多組伺服器 API。除了解鎖與發動引擎,系統還洩露車輛位置、行駛里程、油量、剩餘續航里程、車門狀態,以及客戶的個人資料。兩位專家尚未公開車廠名稱。第一家車廠的受影響車輛位於美國,第二家則涵蓋澳洲、美國與加拿大。
從 Android 應用程式到客戶資料
Shah 一開始先對第二家車廠的 Android 應用程式進行反編譯(decompile),發現其中有連往某個 telematics 子網域的網路呼叫,包括帶有「TEST HARNESS」頁面的「admintool」路徑,該頁面需要登入。值得一提的是,網際網路上的任何人都能存取這個頁面。
第二個問題更為嚴重。一個本應移除多餘內容的 JavaScript 封裝檔,竟包含了後端的全部功能,還附帶寫死(hard-coded)的 API key。藉此,團隊得以存取客戶資料。他們將車牌與公開來源的 VIN 車身號碼比對,進而查出車主及其電子郵件。
兩家車廠都使用 ForgeRock 的身分驗證與授權服務。不過,除了一處小例外,問題出在部署方式與不良的資安實務,而非平台本身。團隊花了數週研究車廠如何使用 ForgeRock,目標是為任意使用者產生(mint)存取權杖。上述 JavaScript 封裝檔還包含寫死的管理員登入憑證。這很可能屬於測試(staging)環境,但團隊猜測它仍可使用,結果猜對了。
繞過 WAF 與 MFA
下一步,團隊遇到了網頁應用程式防火牆(WAF)。WAF 依端點(URL)與存取條件運作,而不像網路防火牆那樣依 IP 與連接埠。研究人員認為,車廠之所以部署 WAF,是因為底層基礎架構太過脆弱。他們找到可穿過 WAF 的「pinService」,接著是能依電子郵件、電話號碼或 ID 取得資料的「getUser」。憑藉管理員憑證,他們看到了使用者的密碼雜湊值。不過這些雜湊採用 SHA-512,要破解並不可行。
團隊接著利用一個 AI 模型,以暴力破解(brute-force)方式探測路徑,找到一條未受保護的路徑,可覆寫任意使用者的密碼。剩下的就是 MFA 這一層。澳洲環境同樣設定錯誤,讓使用者可以完全繞過 MFA。團隊在各端點與行動應用程式之間輪替權杖後,成功產生存取權杖,進而完整冒用任何人的帳號。最後,他們對測試車輛送出「door-unlock」API 請求,車門立即開啟。
這起事件顯示,連網車輛的安全程度取決於背後軟體鏈中最薄弱的一環。管理員憑證寫死、管理端點暴露在網際網路上、MFA 遭繞過,都是相當基本的疏失。使用者很難自行防範,但應定期更新車廠的應用程式,為車輛帳號設定獨立的密碼,並留意原廠發布的資安公告。對車廠而言,針對所有 API 定期進行滲透測試(penetration testing)是不可或缺的工作。
审核人: Hero Association
