- Dobësitë në Subaru STARLINK lejuan akses dhe kontroll nga distanca të funksioneve (zhbllokimi, ndezja) dhe marrjen e historikut të vendndodhjes.
- Dështim i portalit administrativ: rivendosja e fjalëkalimit pa konfirmim dhe verifikim të pyetjeve të sigurisë për klientin, duke lehtësuar aksesin e punonjësve.
- Të dhëna të ekspozuara: vendndodhje, adresa, kontakte emergjente dhe të dhëna të pjesshme bankare për një vit, duke rritur rreziqet e vjedhjes dhe shkeljes së privatësisë.
- Subaru e rregulloi problemin në më pak se 24 orë, por punonjësit ruajnë qasje në të dhëna; kjo pasqyron rreziqet në të gjithë industrinë dhe nevojën për rregullore dhe praktikat më të mira.
Hetimet e fundit kanë zbuluar dobësi serioze në sistemin e automjeteve të lidhura STARLINK të Subaru-së , duke u lejuar hakerëve të kenë akses nga distanca dhe të kompromentojnë sigurinë e miliona automjeteve në Shtetet e Bashkuara, Kanada dhe Japoni. Këto të meta sigurie kanë ngritur shqetësime në lidhje me rreziqet e natyrshme të automjeteve të lidhura, të cilat mbledhin sasi të mëdha të dhënash të ndjeshme dhe mbështeten në teknologji për të operuar shumë nga funksionet e tyre.
Studiuesit Sam Curry dhe Shubham Shah zbuluan se sistemi i Subaru-së vuante nga dobësi të shumta që lejonin kontrollin në distancë të automjeteve dhe aksesin në informacione të ndjeshme, siç është historiku i detajuar i vendndodhjes për një vit. Ata ishin gjithashtu në gjendje të hapnin dyert, të manipulonin ndezjen dhe madje të modifikonin cilësimet e përdoruesit. Ky zbulim nxjerr në pah kërcënimet ndaj privatësisë dhe sigurisë që lidhen me dixhitalizimin e automobilave.
Si u identifikuan dobësitë?
Analiza filloi kur Curry vendosi të eksploronte sistemin e lidhur të një Subaru Impreza të vitit 2023, të blerë për nënën e tij. Gjatë hetimit të tyre, ai dhe kolegu i tij zbuluan një portal administrativ të punonjësve të Subaru që përmbante të meta serioze sigurie. Portali lejonte rivendosjen e fjalëkalimeve pa konfirmim , thjesht duke ditur adresën e email-it të një punonjësi. Për më tepër, pyetjet e sigurisë verifikoheshin lokalisht në shfletuesin e përdoruesit dhe jo në serverat e Subaru-s, duke e bërë të lehtë anashkalimin e kësaj shtrese mbrojtjeje.
Pasi fituan akses në një llogari punonjësi, hetuesit demonstruan se mund të kërkonin automjete duke përdorur të dhëna bazë si mbiemri, kodi postar, adresa e email-it, numri i telefonit ose numri i targës. Nga atje, ata mund të manipulonin funksionet e automjetit, të hynin në historikun e vendndodhjes së tij dhe të merrnin informacionin personal të pronarit, duke përfshirë adresat, kontaktet e emergjencës dhe detajet e pjesshme të faturimit.
Ndikimi i dobësive
Rreziqet që lidhen me këtë dështim janë të rëndësishme. Të dhënat e aksesueshme përfshijnë:
- Një vit i plotë i historisë së vendndodhjes, me koordinata të sakta të përditësuara sa herë që makina nisej.
- Informacione personale si emrat, adresat, kontaktet e urgjencës dhe detaje të pjesshme bankare.
- Funksionet e automjetit si p.sh zhbllokimi i dyerve, ndezja në distancë dhe aktivizimi i borisë.
Këto dobësi jo vetëm që rrezikuan privatësinë e pronarëve të automjeteve, por gjithashtu hapën derën për vjedhje, ngacmim dhe madje edhe sabotim . Studiuesit theksuan se këto shkelje paraqesin një pamje shqetësuese për sigurinë kibernetike në industrinë e automobilave në tërësi.
Përgjigja e Subaru
Subaru u njoftua për këto dobësi në nëntor 2024. Për t'u vlerësuar, kompania veproi shpejt, duke rregulluar sistemin në më pak se 24 orë pasi u njoftua. Një zëdhënës i Subaru deklaroi se "nuk u arrit asnjë informacion i klientit pa autorizim" dhe se sistemet janë përmirësuar me monitorim të vazhdueshëm për të parandaluar kërcënimet e ardhshme.
Megjithatë, studiuesit vunë re se, pavarësisht përditësimeve, punonjësit e Subaru-s ende kanë qasje në veçorinë që u lejon atyre të shohin historikun e vendndodhjes për qëllime pune, duke ngritur shqetësime afatgjata për privatësinë.
Një problem i përhapur në industri
Sipas studiuesve, rasti i Subaru-s nuk është unik. Dobësi të ngjashme janë zbuluar në automjete nga marka të tjera, të tilla si Acura, Honda, Hyundai dhe Toyota. Mungesa e qëndrueshmërisë në sistemet e mbrojtjes së të dhënave është një problem i përsëritur në industri, ku prodhuesit shpesh i japin përparësi funksionalitetit mbi sigurinë.
Një raport i Mozilla-s i vitit 2023 i klasifikoi makinat moderne si një "makth privatësie", duke theksuar se 92% e prodhuesve nuk u ofrojnë përdoruesve kontroll mbi të dhënat e mbledhura dhe 84% rezervojnë të drejtën për të ndarë ose shitur atë informacion. Ky nivel ekspozimi nënvizon nevojën urgjente për rregullore dhe standarde më të rrepta të sigurisë kibernetike në sektorin e automobilave.
Në blogun e tij, Curry theksoi dobësinë e natyrshme të sistemeve që u lejojnë punonjësve të kenë akses në informacione të ndjeshme pa kufizime të mjaftueshme. “Industria e automobilave mbështetet shumë në besim, por i mungojnë barrierat e nevojshme për të mbrojtur të dhënat e konsumatorëve ”, komentoi ai.
Ky incident përforcon rëndësinë e zbatimit të masave të forta sigurie dhe gjithashtu shërben si një kujtesë për përdoruesit që të jenë të vetëdijshëm për rreziqet e përfshira në lidhshmërinë në makina.
