Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, iki otomobil üreticisinin müşteri hesaplarını yöneten kimlik yönetimi altyapısında ciddi bir açık bulduklarını açıkladı. Araştırmacılar, üreticilerin talebi üzerine marka adlarını paylaşmadı.

VARSAYILAN ŞİFRE KAPIYI AÇTI

İncelenen sistemlerde yönetim paneline erişim güvenlik duvarıyla engelleniyordu. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı yorumlaması, araştırmacıların panele ulaşmasına imkan verdi. Panel, kullanıcı adı ve parola olarak hala "admin" bilgisini kabul ediyordu.

KİLİT AÇILDI, MOTOR ÇALIŞTIRILDI

Araştırmacılar, izinli bir test hesabının e-posta ve şifresini değiştirerek mobil uygulamada yeni oturum açtı; böylece aracın konumuna ve uzaktan kumanda işlevlerine erişebildi. Hesap bilgilerindeki değişiklik, araç sahibinin telefonundaki oturumu da kapatmadı. Shah, araç sahibi otomobilin yanındayken kapıların kilidini açıp motoru çalıştırdı.

AÇIK AYNI GÜN KAPATILDI

Avustralya'daki sistemde ise test ortamı için hazırlanan yönetici bilgilerinin bir JavaScript dosyasına gömülü olduğu ve canlı sistemde de çalıştığı tespit edildi. Araştırmacılar, testleri Şubat 2026'da yalnızca onay veren araç sahiplerinin otomobillerinde yaptı. İki üretici, bildirimin ardından açığı aynı gün kapattı ve etkilenen erişim bilgilerini yeniledi.