Xe kết nối của 2 hãng lớn bị hack mở khóa và nổ máy từ xa

Hai nhà nghiên cứu bảo mật khai thác lỗ hổng backend của xe kết nối, cho phép mở khóa cửa và khởi động động cơ từ xa trên xe của hai hãng ô tô lớn.

Hai hãng xe bị xâm nhập hạ tầng kết nối

Hồi đầu năm 2026, 2 nhà nghiên cứu bảo mật là Shubham Shah và Sam Curry đã xâm nhập hạ tầng backend phục vụ kết nối xe của hai hãng xe hơi lớn. Kết quả là họ mở được cửa từ xa trên bất kỳ xe nào có kết nối Internet. Họ cũng khởi động được động cơ ở nhiều khu vực trên thế giới.

Các lỗ hổng đã được vá nhanh chóng. Chúng nằm ở nhiều API máy chủ mà ứng dụng di động của hãng sử dụng. Ngoài mở khóa và nổ máy, hệ thống còn để lộ vị trí xe, số km đã chạy, nhiên liệu, quãng đường còn lại, trạng thái cửa cùng thông tin cá nhân của khách hàng. Hai chuyên gia chưa công bố tên hãng. Xe của hãng thứ nhất bị ảnh hưởng tại Mỹ. Xe của hãng thứ hai bị ảnh hưởng tại Úc, Mỹ và Canada.

Từ ứng dụng Android đến dữ liệu khách hàng

Shah bắt đầu bằng việc dịch ngược (decompile) ứng dụng Android của hãng thứ hai. Anh tìm thấy các lời gọi mạng tới 1 subdomain telematics. Trong đó có đường dẫn "admintool" với trang "TEST HARNESS" yêu cầu đăng nhập. Điều đáng nói là ai trên Internet cũng truy cập được trang này.

Vấn đề thứ hai nghiêm trọng hơn. Một gói JavaScript lẽ ra phải được lược bỏ phần thừa lại chứa toàn bộ chức năng của backend. Gói này còn kèm API key viết cứng (hard-coded). Nhờ vậy nhóm truy xuất được dữ liệu khách hàng. Họ đối chiếu bảng số xe với số VIN từ nguồn công khai, rồi lần ra khách hàng và email của người đó.

Cả 2 hãng đều dùng dịch vụ xác thực và phân quyền của ForgeRock. Tuy nhiên, trừ một ngoại lệ nhỏ, lỗi nằm ở cách triển khai và thực hành bảo mật kém chứ không phải ở nền tảng. Nhóm mất vài tuần để tìm hiểu cách hãng dùng ForgeRock. Mục tiêu của họ là tạo (mint) access token cho người dùng bất kỳ. Gói JavaScript nói trên còn chứa thông tin đăng nhập quản trị viên viết cứng. Nhiều khả năng đó là của môi trường staging, nhưng nhóm đoán đúng rằng vẫn dùng được.

Vượt WAF và bỏ qua MFA

Bước kế tiếp, nhóm đụng phải tường lửa ứng dụng web (WAF). WAF làm việc theo endpoint (URL) và điều kiện truy cập, thay vì IP và cổng như tường lửa mạng. Các nhà nghiên cứu cho rằng hãng đặt WAF vì phần hạ tầng bên dưới quá yếu. Họ tìm ra "pinService" đi qua được WAF, kế đó là "getUser" cho phép lấy thông tin theo email, số điện thoại hoặc ID. Thông tin quản trị viên giúp họ thấy mật khẩu băm của người dùng. Tuy nhiên, các mã băm này dùng SHA-512 nên việc bẻ khóa không khả thi.

Nhóm tiếp tục dùng 1 mô hình AI để dò đường dẫn bằng brute-force. Họ tìm ra một đường dẫn không được bảo vệ, cho phép ghi đè mật khẩu của người dùng bất kỳ. Còn lại là lớp MFA. Môi trường tại Úc cũng cấu hình sai, cho phép người dùng bỏ qua MFA hoàn toàn. Sau khi xoay vòng token giữa các endpoint và ứng dụng di động, nhóm tạo được access token. Từ đó họ giả mạo trọn vẹn tài khoản của bất kỳ ai. Cuối cùng, họ gửi yêu cầu API "door-unlock" cho xe thử nghiệm. Xe mở cửa ngay.

Nguồn: Tom's Hardware

Kiểm duyệt bởi: Hero Association