- Sicherheitslücken in Subaru STARLINK ermöglichten den Fernzugriff und die Steuerung von Funktionen (Entriegeln, Zünden) sowie das Abrufen des Standortverlaufs.
- Fehler im Administrationsportal: Passwortzurücksetzung ohne Bestätigung und Überprüfung der Sicherheitsfragen auf Clientseite, wodurch der Mitarbeiterzugriff ermöglicht wird.
- Offenlegung von Daten: Ein Jahr an Standorten, Adressen, Notfallkontakten und teilweisen Bankdaten, wodurch das Risiko von Diebstahl und Verletzung der Privatsphäre steigt.
- Subaru hat das Problem in weniger als 24 Stunden behoben, aber die Mitarbeiter behalten weiterhin Zugriff auf die Datensätze; dies spiegelt branchenweite Risiken und den Bedarf an Vorschriften und bewährten Verfahren wider.
Jüngste Untersuchungen haben schwerwiegende Schwachstellen im vernetzten STARLINK-System von Subaru aufgedeckt, wodurch Hacker aus der Ferne auf die Sicherheit von Millionen von Fahrzeugen in den USA, Kanada und Japan zugreifen und diese gefährden konnten. Diese Sicherheitsmängel haben Alarm ausgelöst über die inhärente Risiken von vernetzten Fahrzeugen, die riesige Datenmengen sammeln Mengen sensibler Daten und sind für die Ausführung vieler ihrer Funktionen auf die Technologie angewiesen.
Die Forscher Sam Curry und Shubham Shah entdeckten, dass das System von Subaru mehrere Mängel aufwies, die es ermöglichten Fahrzeuge fernsteuern und greifen Sie auf vertrauliche Informationen zu, beispielsweise den detaillierten Standortverlauf eines Jahres. Darüber hinaus konnten sie Türen aufschließen, die Zündung manipulieren und sogar Benutzereinstellungen ändern. Diese Entdeckung unterstreicht die Bedrohungen durch Privatsphäre und Sicherheit im Zusammenhang mit der Digitalisierung des Automobils.
Wie wurden Schwachstellen identifiziert?
Die Analyse begann, als Curry beschloss, das vernetzte System eines 2023er Subaru Impreza zu erkunden, den er für seine Mutter gekauft hatte. Bei seinen Ermittlungen entdeckten er und sein Partner ein Verwaltungsportal für Subaru-Mitarbeiter, das schwerwiegende Sicherheitslücken aufwies. Das Portal ermöglichte es den Zurücksetzen von Passwörtern ohne Bestätigung, einfach indem man die E-Mail-Adresse eines Mitarbeiters kennt. Darüber hinaus wurden Sicherheitsfragen lokal im Browser des Benutzers und nicht auf den Servern von Subaru überprüft, wodurch es einfacher wurde, diese Schutzebene zu umgehen.
Nachdem sie sich Zugriff auf ein Mitarbeiterkonto verschafft hatten, konnten die Forscher demonstrieren, dass sie anhand grundlegender Daten wie Nachname, Postleitzahl, E-Mail-Adresse, Telefonnummer oder Nummernschild nach Fahrzeugen suchen konnten. Von dort aus könnten sie Fahrzeugfunktionen manipulieren, Greifen Sie auf Ihren Standortverlauf zuund erhalten vom Eigentümer personenbezogene Daten, einschließlich Adressen, Notfallkontakte und teilweise Rechnungsdetails.
Die Auswirkungen von Sicherheitslücken
Die mit diesem Versagen verbundenen Risiken sind erheblich. Zu den zugänglichen Daten gehörten:
- Ein ganzes Jahr Standortverlauf, wobei die genauen Koordinaten bei jedem Start des Fahrzeugs aktualisiert werden.
- Persönliche Informationen wie Namen, Adressen, Notfallkontakte und teilweise Bankverbindung.
- Fahrzeugfunktionen wie die Türen öffnen, Fernzündung und Hupenaktivierung.
Diese Schwachstellen gefährden nicht nur Privatsphäre der Eigentümer, sondern eröffnete Möglichkeiten für Diebstahl, Belästigung und sogar Sabotage von Fahrzeugen. Die Forscher betonten, dass diese Verstöße einen besorgniserregenden Ausblick für die Cybersicherheit in der Automobilindustrie im Allgemeinen eröffnen.
Subarus Antwort
Subaru wurde im November 2024 auf diese Schwachstellen aufmerksam gemacht. Man muss dem Unternehmen zugutehalten, dass es schnell reagierte. Patchen des Systems in weniger als 24 Stunden nach der Information. Ein Sprecher von Subaru sagte: „Es wurden keine Kundendaten unbefugt abgerufen“ und dass die Systeme verbessert wurden mit kontinuierliche Überwachung um zukünftige Bedrohungen zu verhindern.
Die Forscher stellten jedoch fest, dass Subaru-Mitarbeiter trotz der Patches immer noch Zugriff auf die Funktion haben, mit der sie Standortverläufe aus beruflichen Gründen einsehen können, was Fragen aufwirft langfristige Datenschutzbedenken.
Ein weit verbreitetes Problem in der Branche
Den Ermittlern zufolge ist der Fall Subaru kein Einzelfall. Ähnliche Schwachstellen wurden in Fahrzeugen anderer Marken entdeckt, darunter Acura, Honda, Hyundai und Toyota. Der Mangelnde Robustheit der Datenschutzsysteme Dies ist ein in der Branche immer wiederkehrendes Problem: Hersteller geben der Funktionalität oft Vorrang vor der Sicherheit.
Ein Mozilla-Bericht aus dem Jahr 2023 bezeichnete moderne Autos als „Albtraum für die Privatsphäre“ und hob hervor, dass 92 % der Hersteller den Benutzern keine Kontrolle über ihre Fahrzeuge bieten. Daten gesammelt und 84 % behalten sich das Recht vor, diese Informationen weiterzugeben oder zu verkaufen. Dieses Ausmaß der Bekanntheit unterstreicht die Dringender Bedarf an strengeren Vorschriften und Cybersicherheitsstandards im Automobilsektor.
In seinem Blog betonte Curry die inhärente Anfälligkeit von Systemen, die Mitarbeitern ohne entsprechende Einschränkungen Zugriff auf vertrauliche Informationen ermöglichen. „Die Automobilindustrie ist in hohem Maße auf Vertrauen angewiesen, verfügt jedoch nicht über die notwendigen Schutzmaßnahmen zum Schutz der Verbraucherdaten“Er sagte.
Dieser Vorfall unterstreicht die Bedeutung der Umsetzung robuster Sicherheitsmaßnahmen und dient den Benutzern auch als Erinnerung daran, sich der Risiken, die mit der Konnektivität einhergehen in Autos.
