Breccia di dati Volkswagen: 800.000 veicoli elettrici esposti

La Volkswagen ha subito una grave breccia di dati che ha esposto informazioni sensibili di oltre 800.000 proprietari di veicoli elettrici (EV) delle marche Volkswagen, Audi, Seat e Škoda. Questo incidente, scoperto da un whistleblower e reso noto da Der Spiegel, ha messo in luce gravi carenze di sicurezza nella società software Cariad, esponendo vulnerabilità nella gestione dei dati dei veicoli moderni.

Dettagli della Breccia

La breccia di dati ha coinvolto precise informazioni GPS e dati personali collegati ai proprietari dei veicoli. Queste informazioni sono state archiviate su un server cloud Amazon non protetto, rendendo accessibili a chiunque con abilità tecniche di base:

Log di posizionamento dettagliati: Mostrano esattamente dove e quando i veicoli sono stati parcheggiati.
Informazioni personali: Includono nomi, indirizzi email e numeri di telefono.
Pattern di movimento: Offrono insight sui ritmi di vita, luoghi di lavoro, luoghi di svago e persino visite sensibili come uffici governativi, ospedali e istituzioni private.

Queste informazioni esposte hanno rappresentato un rischio significativo per l’esploitation da parte di criminali, attori di spionaggio o hacker, come sottolineato da Linus Neumann del Chaos Computer Club (CCC), che ha paragonato la situazione a lasciare “una grande catena di chiavi sotto un piccolo tappeto flaccido”.

Impatto e Reazioni

La breccia di dati non ha solo colpito gli utenti individuali, ma anche entità istituzionali. Der Spiegel ha riportato i seguenti casi:

Politica Nadja Weippert: Membro del Partito Verde e difensore della privacy, ha scoperto che i suoi movimenti erano stati registrati e collegati a dettagli personali identificabili. Ha descritto la situazione come “shocking”.
Politico Markus Grübel: Membro del CDU Bundestag, ha espresso preoccupazioni simili, sottolineando che l’evento mina la fiducia nell’industria automobilistica.
Polizia di Amburgo: Con 35 EV nella flotta, sono state tra le parti colpite.

I dati provenivano da diversi paesi, tra cui Germania, Israele e Ucraina. In alcuni casi, i dati GPS erano precisi fino a 10 centimetri.

Risposta di Volkswagen e Cariad

Cariad, l’unità software della Volkswagen responsabile della gestione dei dati, ha definito la breccia come una “configurazione errata” piuttosto che un difetto di sicurezza. Il CCC aveva fornito alla Volkswagen 30 giorni per affrontare l’issue prima di renderlo pubblico. La Volkswagen ha risposto prontamente per chiudere la breccia e indagare ulteriormente.

Cariad ha difeso le sue pratiche, affermando che i dati erano pseudonimizzati e non destinati a profilazione degli utenti. Tuttavia, la combinazione dei dataset da parte dei ricercatori di sicurezza ha mostrato come facilmente gli individui potessero essere identificati.

Implicazioni per la Sicurezza Automobilistica

Questo incidente evidenzia un pattern sistematico di vulnerabilità nelle infrastrutture IT e nelle pratiche di gestione dei dati della Volkswagen. Altre preoccupazioni simili sono state sollevate in precedenti rapporti, tra cui:

20 anni di difetto nel software delle concessionarie: Esposizione dei dati dei clienti.
Operazione di spionaggio cinese di 5 anni: Obiettivo dell’intellettuale proprietà della Volkswagen.
Vulnerabilità critica nei sistemi dei veicoli: Disconnessione remota degli motori e furto dei dati.

Questi incidenti evidenziano la necessità urgente per la Volkswagen e altre case automobilistiche di priorizzare la sicurezza come aspetto fondamentale delle loro servizi digitali e connessi.

Fonte: https://cyberinsider.com/vw-suffers-major-breach-exposing-location-of-800000-electric-vehicles