Doi cercetători în securitate informatică, americanul Sam Curry și australianul Shubham Shah, au arătat că pot deschide ușile și porni motorul unor mașini conectate de la distanță, fără cheie și fără acces fizic la vehicul. Descoperirea a fost publicată pe 7 noiembrie 2026 și vizează doi producători auto ale căror nume nu au fost făcute publice, la cererea companiilor.
Punctul slab nu a fost mașina, ci serverul care gestionează conturile clienților în aplicațiile mobile. Potrivit raportului semnat de cei doi, ambii producători au remediat problema în aproximativ două ore de la notificare.
Un singur sistem pentru toate conturile
Aplicațiile celor doi constructori le permit proprietarilor să vadă poziția mașinii, starea ușilor și a anvelopelor, să încuie sau să descuie ușile și să pornească sau să oprească motorul de la distanță. În spatele lor, autentificarea clienților rula pe aceeași platformă de identitate, ForgeRock, produs care aparține acum companiei Ping Identity.
O astfel de platformă ține conturile tuturor clienților și decide cine primește acces. Cine ajunge administrator pe ea nu mai controlează un singur cont, ci pe toate cele gestionate de sistem.
Parola implicită „admin”, încă activă
În testele din Statele Unite, făcute la începutul anului 2026, cercetătorii s-au lovit inițial de un firewall care bloca accesul la zonele administrative ale serverului. Shah a găsit o adresă construită pe ruta fișierelor statice ale site-ului, scrisă cu caractere codificate. Firewall-ul o trata ca pe o cerere banală, iar serverul din spate o interpreta ca pe o cerere către o consolă de administrare ascunsă.
Consola accepta în continuare numele de utilizator și parola implicite, „admin” și „admin”, cele cu care software-ul este livrat. Documentația ForgeRock pentru sistemele în producție recomandă ca această consolă să fie eliminată sau protejată. Prin ea, cercetătorii au programat o sarcină care le-a rulat propriul cod pe serverele de identitate ale ambilor producători.
De acolo au obținut datele de acces ale administratorului local. Cu ele puteau căuta orice client după nume, adresă de e-mail sau număr de telefon și îi puteau modifica fișa de cont.
Cum a fost preluat un cont
Pentru a intra în contul unui proprietar, cercetătorii nu au avut nevoie de parola acestuia. Au înlocuit adresa de e-mail din cont cu una controlată de ei, au setat o parolă nouă și s-au autentificat prin fluxul normal al aplicației. Codul de verificare din șase cifre a ajuns pe adresa lor, iar sistemul le-a emis aceleași jetoane de acces pe care le primește telefonul proprietarului.
Sesiunea proprietarului a rămas activă în tot acest timp. După obținerea jetoanelor, cercetătorii au repus adresa de e-mail inițială, astfel că contul arăta neatins. Ei arată că puteau înregistra și un identificator propriu pentru notificări, ca alertele mașinii să nu mai ajungă pe telefonul proprietarului.
Cu accesul obținut, aveau aceleași drepturi ca aplicația oficială: localizarea vehiculului, date de bord, încuierea și descuierea ușilor, pornirea și oprirea motorului. Lanțul complet a fost testat doar cu conturi și mașini din SUA, cu proprietarul lângă vehicul. Shah a descuiat mașina, a pornit-o, a oprit motorul și a încuiat-o la loc. Proprietarul și-a ales apoi o parolă nouă.
