Scoperte vulnerabilità nei veicoli Kia: come proteggere il tuo veicolo da attacchi remoti

Il 11 giugno 2024, un team di ricercatori ha scoperto una serie di vulnerabilità nei veicoli Kia che permettevano il controllo remoto di funzioni chiave utilizzando solo la targa del veicolo. Questi attacchi potevano essere eseguiti in circa 30 secondi su qualsiasi veicolo dotato di hardware appropriato, indipendentemente dall’attivazione dell’abbonamento Kia Connect. Inoltre, un attaccante poteva ottenere silenziosamente informazioni personali, inclusi nome, numero di telefono, indirizzo email e indirizzo fisico della vittima. Questo permetteva all’attaccante di aggiungersi come utente invisibile sul veicolo della vittima senza che questa ne fosse a conoscenza.

Meccanismo dell’Attacco

Il cuore della ricerca risiedeva nello sfruttamento dell’infrastruttura dei concessionari Kia (“kiaconnect.kdealer[.]com”) utilizzata per le attivazioni dei veicoli. Gli attaccanti potevano registrarsi per un account falso tramite una richiesta HTTP e generare token di accesso. Questi token venivano poi utilizzati in combinazione con un’altra richiesta HTTP a un endpoint APIGW del concessionario e il numero di identificazione del veicolo (VIN) per ottenere il nome, il numero di telefono e l’indirizzo email del proprietario del veicolo. In pratica, bastavano quattro richieste HTTP per accedere al veicolo della vittima e inviare comandi da internet al veicolo.

Implicazioni e Rischi

Le vulnerabilità scoperte permettevano agli attaccanti di eseguire comandi come bloccare/sbloccare le porte, avviare/arrestare il motore, attivare luci e clacson e persino accedere alle telecamere del veicolo. Questi attacchi potevano essere eseguiti su modelli Kia prodotti dal 2013 in poi. La gravità della situazione era accentuata dal fatto che le vittime non ricevevano alcuna notifica che il loro veicolo fosse stato accesso o che i permessi di accesso fossero stati modificati. Un attaccante poteva risolvere la targa di una persona, ottenere il VIN tramite l’API e seguirla passivamente, inviando comandi attivi come sbloccare, avviare o suonare il clacson.

Risoluzione e Considerazioni Future

Le vulnerabilità sono state segnalate al team Kia l’11 giugno 2024 e sono state risolte il 14 agosto 2024. Non ci sono prove che queste vulnerabilità siano mai state sfruttate in modo malevolo. Tuttavia, la scoperta sottolinea la necessità di una maggiore attenzione alla sicurezza nei veicoli connessi. Come affermato dai ricercatori, “le auto continueranno ad avere vulnerabilità, perché, allo stesso modo in cui Meta potrebbe introdurre una modifica del codice che permetterebbe a qualcuno di prendere il controllo del tuo account Facebook, i produttori di auto potrebbero fare lo stesso per il tuo veicolo”.

Riflessioni sulla Sicurezza e la Trasformazione Digitale

L’automazione e la trasformazione digitale stanno rivoluzionando il settore automobilistico, ma con essi emergono anche nuovi rischi. La scoperta di queste vulnerabilità nei veicoli Kia evidenzia l’importanza di implementare misure di sicurezza robuste per proteggere i consumatori. La scalabilità produttiva e l’integrazione di tecnologie avanzate devono essere accompagnate da un’attenzione costante alla sicurezza informatica.

In un contesto di trasformazione digitale, è fondamentale comprendere che ogni nuova funzionalità connessa introduce potenziali punti di vulnerabilità. La sicurezza deve essere integrata fin dalle prime fasi di sviluppo dei prodotti, e le aziende devono essere pronte a rispondere rapidamente alle minacce emergenti. Solo così potremo beneficiare appieno delle innovazioni tecnologiche senza compromettere la nostra sicurezza.