La sicurezza delle auto connesse è un tema sempre più critico, e recentemente è emersa una vulnerabilità significativa nel sistema di connessione Starlink delle auto Subaru. Due ricercatori, Sam Curry e Shubham Shah, hanno scoperto una vulnerabilità che permetteva loro di accedere senza restrizioni a tutti i veicoli e ai conti dei clienti negli Stati Uniti, Canada e Giappone. Questo articolo esamina dettagliatamente la vulnerabilità, i rischi associati e fornisce consigli per migliorare la sicurezza delle auto connesse.
La Vulnerabilità
La vulnerabilità è stata scoperta nel sistema di connessione Starlink delle auto Subaru. Questo sistema, che include la piattaforma MySubaru e l’app mobile, permette ai proprietari di accedere ai dati dei loro veicoli e di controllare alcune funzioni del veicolo in remoto. Tuttavia, i ricercatori hanno trovato un punto debole nel sistema di autenticazione che permetteva loro di accedere ai conti dei clienti con minimali informazioni come il cognome, il codice ZIP, l’indirizzo email, il numero di telefono o la targa del veicolo.
Rischi Associati
I ricercatori hanno dimostrato che un hacker potrebbe:
- Accedere ai dati dei veicoli: Includendo la posizione attuale e la storia delle posizioni dei veicoli per un anno intero.
- Controllare le funzioni del veicolo: Includendo la possibilità di avviare, fermare, bloccare e sbloccare il veicolo in remoto.
- Ritirare informazioni personali: Come indirizzi, dettagli di fatturazione (informazioni parziali della carta di credito), contatti di emergenza e PIN del veicolo.
- Query ulteriori dati utente: Come storia dei chiamate di supporto, letture dell’odometro, registrazioni delle vendite e altro ancora.
Come è stata scoperta la vulnerabilità
I ricercatori hanno iniziato esaminando l’app mobile MySubaru, ma hanno trovato che era ben protetta. Pertanto, hanno spostato l’attenzione verso i sistemi facenti capo agli impiegati, dove hanno scoperto un portale amministrativo per i servizi Starlink attraverso una scansione delle sottodomini. Una volta dentro il sistema, hanno bypassato la due-factor authentication (2FA) disabilitando le overlay di sicurezza client-side e ottenendo così accesso non autorizzato al backend del sistema Starlink.
Risposta di Subaru
Subaru ha risposto rapidamente alla segnalazione dei ricercatori, chiudendo la vulnerabilità entro 24 ore dal rapporto. Non ci sono prove che la vulnerabilità sia stata sfruttata maliziosamente prima di essere patchata.
Implicazioni e Rischi
La scoperta di questa vulnerabilità mette in luce una serie di problemi più ampi relativi alla sicurezza delle auto connesse. I ricercatori hanno sottolineato che semplicemente aggiornare le patch dopo aver trovato gli errori non è sufficiente per risolvere il problema più profondo della privacy nell’industria automobilistica. Inoltre, anche se le vulnerabilità sono state risolte, gli impiegati ancora hanno accesso ai dati di localizzazione, il che può essere un problema significativo.
Consigli per Migliorare la Sicurezza
- Implementazione di Misure di Sicurezza Robuste
- Subaru e altri costruttori di auto dovrebbero implementare misure di sicurezza robuste, come la crittografia avanzata e controlli di accesso multi-fattore, per proteggere i dati dei clienti e prevenire accessi non autorizzati.
- Formazione e Consapevolezza
- La formazione dei dipendenti sulla sicurezza informatica è cruciale. Gli impiegati dovrebbero essere consapevoli delle best practice di sicurezza e delle procedure da seguire per prevenire gli accessi non autorizzati.
- Monitoraggio Continuo
- I costruttori di auto dovrebbero implementare sistemi di monitoraggio continuo per identificare e risolvere eventuali vulnerabilità prima che vengano sfruttate.
- Collaborazione con la Comunità di Sicurezza
- Collaborare con la comunità di sicurezza può aiutare a identificare e risolvere vulnerabilità prima che vengano sfruttate. I ricercatori come Sam Curry e Shubham Shah hanno giocato un ruolo importante nella scoperta e nel risolvimento di questa vulnerabilità.
- Transparenza e Responsabilità
- La trasparenza e la responsabilità sono fondamentali nella gestione delle vulnerabilità. I costruttori di auto dovrebbero essere trasparenti riguardo alle vulnerabilità scoperte e rispondere rapidamente alle segnalazioni dei ricercatori.
La vulnerabilità scoperta nei sistemi Starlink delle auto Subaru è un esempio chiaro dei rischi associati alla sicurezza delle auto connesse. È essenziale che i costruttori di auto implementino misure di sicurezza robuste, formino i dipendenti sulla sicurezza informatica e collaborino con la comunità di sicurezza per prevenire gli accessi non autorizzati e proteggere i dati dei clienti.
