— Иоганн, мы наблюдаем резкое увеличение числа угонов автомобилей. Причем угоняются разные марки, как правило, довольно престижные. В разных местах.
— А что общего между ними?
— Наличие бесключевой автомобильной сигнализации двух мировых компаний — Pan и Vip.
— И все?
— Да. Более того, это наблюдается последние три месяца. Поскольку полиция не справляется с угонами, а мы считаем, что проблема именно в системе сигнализации, мы обратились к императору с просьбой подключить ваших специалистов, чтобы понять что происходит. Обращение в компании-производители, увы, пока без ответа.
— Вы сможете предоставить нам по нескольку образцов подобной сигнализации и установить ее на несколько оперативных машин? Естественно, из нашего гаража эти машины выезжать не будут. Да, оплатить оплатить все это лучше со счетов частных лиц. Мало ли что.
Прошло три недели.
— Добрый день, комиссар! Мы провели исследование, понимаю, что долго, но быстрее не смогли. В этих системах сигнализации выявлена уязвимость, которая позволила нам получить удаленный доступ к системам автомобиля и выдаваемым ими данным.
— И как это рботает?
— С помощью выявленной уязвимости любой может получить доступ к удалённому кабинету авторизованного владельца транспортного средства. Недоработки в пользовательском интерфейсе на серверах поддержки позволяют подменить почтовый адрес пользователя любым другим адресом без авторизации и провести операцию сброса пароля с последующей отправкой пароля на адрес злоумышленника. Это оказалось сделать настолько легко, что наши исследователи назвали свой доклад «Угнать за 6 секунд».
— А что именно могут сделать злоумышленники?
— После получения пароля пользователя и входа в аккаунт на смартфоне можно запустить приложение, которое позволяет следить за перемещением автомобиля на карте, дистанционно глушить двигатель для принудительной остановки и открывать двери, а также прослушивать и записывать разговоры в салоне с помощью предусмотренного системой сигнализации микрофона для связи со службами спасения и техпомощью.
— Погодите, значит мы можем вот прямо сейчас это использовать?
— Конечно.
— Вы уверены?
— Безусловно.
— Сейчас по
— Да, конечно!
— Иоганн, нам это очень важно. Они постоянно сбрасывают хвост. Прикажите своим людям сделать это.
— Рита, сможете?
— Без проблем, шеф! Что именно нужно сделать?
— Вначале прослушать, о чем они говорят.
— Легко. Слушайте.
Прошло полчаса.
— Рита, а вы сможете заблокировать двигатель и двери их машины? Хотя бы на 10 минут? Пока подъедут оперативники.
— Конечно. Однако учтите, через два дня мы сообщим об уязвимости производителям.
— Может да, а может и нет. Это решать будут в гораздо более высоких инстанциях.
— Понятно. Начались шпионские игры?
— А вы как думали? Все просто? Не-е-ет. Все гораздо сложнее!
Вы думаете это сказка? Увы, нет. Специалисты по кибербезопасности британской Pen Test Partners обнаружили весьма опасную уязвимость в бесключевых автомобильных сигнализациях двух мировых компаний — российской Pandora и американской Viper (в Англии — Clifford). Выявленная уязвимость позволила исследователям получить удалённый доступ к системам автомобиля и к данным, которые они могли выдавать.
