- Vulnerabilidades no sistema Subaru STARLINK permitiam acesso e controle remoto de funções (destravamento, ignição) e obtenção do histórico de localização.
- Falha no portal administrativo: redefinição de senha sem confirmação e verificação das perguntas de segurança do cliente, facilitando o acesso do funcionário.
- Dados expostos: um ano inteiro de informações sobre localização, endereços, contatos de emergência e dados bancários parciais, aumentando os riscos de roubo e invasão de privacidade.
- A Subaru corrigiu o problema em menos de 24 horas, mas os funcionários ainda têm acesso aos registros; isso reflete os riscos inerentes ao setor e a necessidade de regulamentações e melhores práticas.
Investigações recentes revelaram sérias vulnerabilidades no sistema de veículos conectados STARLINK da Subaru , permitindo que hackers acessem remotamente e comprometam a segurança de milhões de veículos nos Estados Unidos, Canadá e Japão. Essas falhas de segurança levantaram preocupações sobre os riscos inerentes aos veículos conectados, que coletam grandes quantidades de dados sensíveis e dependem da tecnologia para operar muitas de suas funções.
Os pesquisadores Sam Curry e Shubham Shah descobriram que o sistema da Subaru apresentava múltiplas vulnerabilidades que permitiam o controle remoto dos veículos e o acesso a informações sensíveis, como o histórico detalhado de localização de um ano inteiro. Eles também conseguiram destravar portas, manipular a ignição e até mesmo modificar as configurações do usuário. Essa descoberta destaca as ameaças à privacidade e à segurança associadas à digitalização dos automóveis.
Como as vulnerabilidades foram identificadas?
A análise começou quando Curry decidiu explorar o sistema conectado de um Subaru Impreza 2023 comprado para sua mãe. Durante a investigação, ele e seu colega descobriram um portal administrativo de funcionários da Subaru com sérias falhas de segurança. O portal permitia que senhas fossem redefinidas sem confirmação , bastando saber o endereço de e-mail do funcionário. Além disso, as perguntas de segurança eram verificadas localmente no navegador do usuário, em vez de nos servidores da Subaru, facilitando a burla dessa camada de proteção.
Após obterem acesso à conta de um funcionário, os investigadores demonstraram que conseguiam pesquisar veículos utilizando dados básicos como sobrenome, código postal, endereço de e-mail, número de telefone ou número da placa. A partir daí, podiam manipular as funções do veículo, aceder ao seu histórico de localização e obter informações pessoais do proprietário, incluindo endereços, contactos de emergência e detalhes parciais de faturação.
O Impacto das Vulnerabilidades
Os riscos associados a essa falha são significativos. Dados acessíveis incluídos:
- Um ano inteiro de histórico de localização, com coordenadas precisas atualizadas toda vez que o carro era ligado.
- Informações pessoais, como nomes, endereços, contatos de emergência e detalhes bancários parciais.
- Funções do veículo, como destrancando portas, ignição remota e ativação da buzina.
Essas vulnerabilidades não apenas colocaram em risco a privacidade dos proprietários de veículos, mas também abriram caminho para roubo, assédio e até sabotagem . Os pesquisadores enfatizaram que essas violações pintam um quadro preocupante para a segurança cibernética na indústria automotiva como um todo.
Resposta da Subaru
A Subaru foi alertada sobre essas vulnerabilidades em novembro de 2024. A empresa, reconhecidamente, agiu rapidamente, corrigindo o sistema em menos de 24 horas após ser notificada. Um porta-voz da Subaru afirmou que “nenhuma informação de cliente foi acessada sem autorização” e que os sistemas foram aprimorados com monitoramento contínuo para prevenir futuras ameaças.
No entanto, os pesquisadores observaram que, apesar das correções, os funcionários da Subaru ainda têm acesso ao recurso que lhes permite visualizar o histórico de localização para fins de trabalho, o que levanta preocupações com a privacidade a longo prazo.
Um problema generalizado na indústria
Segundo pesquisadores, o caso da Subaru não é isolado. Vulnerabilidades semelhantes foram detectadas em veículos de outras marcas, como Acura, Honda, Hyundai e Toyota. A falta de robustez nos sistemas de proteção de dados é um problema recorrente no setor, onde os fabricantes frequentemente priorizam a funcionalidade em detrimento da segurança.
Um relatório da Mozilla de 2023 classificou os carros modernos como um “pesadelo para a privacidade”, destacando que 92% dos fabricantes não oferecem aos usuários controle sobre os dados coletados e 84% reservam-se o direito de compartilhar ou vender essas informações. Esse nível de exposição ressalta a necessidade urgente de regulamentações mais rigorosas e padrões de segurança cibernética mais elevados no setor automotivo.
Em seu blog, Curry enfatizou a vulnerabilidade inerente aos sistemas que permitem que os funcionários acessem informações confidenciais sem as devidas restrições. "A indústria automotiva depende muito da confiança, mas carece das barreiras necessárias para proteger os dados do consumidor ", comentou.
Este incidente reforça a importância da implementação de medidas de segurança robustas e serve também como um lembrete para os usuários sobre os riscos envolvidos na conectividade em carros.
