استخدام «admin» اسمًا وكلمة مرور مكّن باحثين من فتح سيارات وتشغيل محركاتها عن بُعد في 3 دول

تمكّن باحثان في الأمن السيبراني من دخول أنظمة شركتين لصناعة السيارات باستخدام «admin» اسمًا للمستخدم وكلمة مرور، ثم فتحا أبواب مركبات عن بُعد وشغّلا محركاتها وتتبعّا مواقعها. واختبر الباحثان سلسلة الهجوم الكاملة على حسابات ومركبات في الولايات المتحدة، فيما أظهرت النتائج إمكانية إرسال أوامر مماثلة إلى سيارات في الولايات المتحدة وكندا وأستراليا.

بيانات الدخول الافتراضية فتحت الطريق إلى حسابات العملاء

اكتشف الباحثان سام كاري وشوبهام شاه الثغرة في أنظمة تسجيل دخول العملاء التي تستخدمها تطبيقات الهاتف التابعة لشركتي السيارات. ونُشرت تفاصيل البحث في 7 نوفمبر، لكن أسماء العلامتين التجاريتين لم تُكشف بناءً على طلب الشركتين.

وكانت الشركتان تستخدمان منصة ForgeRock لإدارة الهوية وتسجيل دخول المستخدمين. وأثناء محاولة الوصول إلى البنية الإدارية التي تضم سجلات العملاء، عثر الباحثان على وحدة تحكم إدارية باسم Apache Felix، وكانت محمية بجدار ناري يفترض أن يمنع الوصول إليها مباشرة عبر الإنترنت.

لكن الباحثين تمكنا من تجاوز الجدار الناري عبر عناوين إنترنت أُعدّت خصيصًا لهذا الغرض. وبعد ظهور صفحة تسجيل الدخول، جرّبا بيانات الدخول الافتراضية، ليتبيّن أن اسم المستخدم وكلمة المرور في خوادم الشركتين كانا «admin».

وأتاح ذلك للباحثين تشغيل شيفرتهما الخاصة على الخادم، ثم الوصول إلى النظام الذي يدير سجلات العملاء. وبات بإمكانهما تغيير البريد الإلكتروني وكلمة المرور لحساب أي عميل، ما فتح الطريق إلى الحسابات المرتبطة بالسيارات.

السيارات استجابت للأوامر عن بُعد

لاختبار مدى خطورة الثغرة، غيّر الباحثان البريد الإلكتروني لحساب تجريبي إلى عنوان يسيطران عليه، وأنشآ كلمة مرور جديدة، ثم دخلا إلى تطبيق السيارة كما يفعل أي مستخدم عادي. كما وصلا إلى رمز التحقق المؤلف من ستة أرقام، لأنه أُرسل مباشرة إلى البريد الإلكتروني الواقع تحت سيطرتهما.

ومن خلال الحساب، تمكنا من الوصول إلى بيانات السيارة، بما في ذلك رقم الهيكل والطراز ومعلومات الاشتراك. والأخطر أنهما تمكنا من استخدام وظائف التحكم عن بُعد المتاحة لمالك السيارة داخل التطبيق؛ ففتحا أبواب مركبة اختبارية وشغّلا محركها، ثم أوقفاه وأعادا إغلاق الأبواب.

ولم يكن من السهل على مالك السيارة اكتشاف اختراق حسابه، إذ إن تغيير البريد الإلكتروني وكلمة المرور لم يؤدِّ إلى إنهاء جلسة التطبيق المفتوحة على هاتفه. وبذلك كان المستخدم الحقيقي يستطيع مواصلة استخدام التطبيق من دون أن يدرك فورًا أن حسابه اختُرق.

أجرى الباحثان الاختبار الكامل على حسابات وسيارات في الولايات المتحدة. كما اكتشف شوبهام شاه ثغرة مختلفة في أنظمة العلامتين التجاريتين بأستراليا، إذ كانت بيانات دخول إدارية مضمّنة داخل شيفرة تطبيق الهاتف تتيح الوصول إلى النظام.

وبجمع نتائج الاختبارين، خلص الباحثان إلى إمكانية إرسال أوامر فتح الأقفال وتشغيل المحركات عن بُعد إلى مركبات في الولايات المتحدة وكندا وأستراليا، إلى جانب الوصول إلى بيانات الحسابات وتتبع مواقع السيارات.

إصلاح الخلل من دون تحديث للمستخدمين

أبلغ الباحثان الشركتين بالثغرات، وقالا إن كليهما أصلح المشكلة وغيّر بيانات الدخول المكشوفة بعد نحو ساعتين من الإبلاغ. ولا يحتاج المستخدمون إلى تثبيت أي تحديث على هواتفهم أو سياراتهم، لأن الخلل كان في إعدادات الأمان على خوادم الشركات، وليس في المركبات نفسها.

ولا تُعد هذه المرة الأولى التي يعثر فيها الباحثان على ثغرة مشابهة لدى شركة سيارات. فقد اكتشفا سابقًا مشكلة أمنية خطيرة في نظام ستارلينك التابع لشركة سوبارو، كان يمكن عبرها لمن يملك بعض المعلومات الشخصية عن مالك السيارة فتح الأبواب وتشغيل المحرك والوصول إلى سجل مواقع يمتد لعام كامل. وأغلقت سوبارو تلك الثغرة خلال يوم واحد من تلقي البلاغ.

المصدر: donanimhaber