起亞門戶中發現的嚴重漏洞可用於定位、攻擊數百萬輛汽車：報告

起亞汽車新標誌|照片來源：特別安排

安全研究人員在起亞經銷商入口網站中發現了一個嚴重缺陷。 Bleeping Computer 的一份報告稱，威脅行為者可以利用該安全漏洞定位並非法存取 2013 年後生產的數百萬輛起亞汽車，僅使用車輛的車牌。

此安全漏洞還可用於在 30 秒內控制任何配備遠端硬體的起亞汽車，並暴露車主的個人資訊。這包括姓名、電話號碼、電子郵件地址和實際地址。

據報道，攻擊者可以利用該漏洞在車主不知情的情況下將自己添加為車輛的二級用戶。

為了證明漏洞的嚴重性，研究人員設計了一種工具，使他們能夠遠端解鎖車輛、啟動或停止引擎、按喇叭並精確定位車輛的位置。

在起亞門戶中發現該漏洞的安全研究人員於2022 年初發現了影響十幾家汽車公司的類似漏洞，這些漏洞可用於遠端定位、禁用啟動器、解鎖和啟動包括法拉利、寶馬、勞斯萊斯等知名製造商的超過1500 萬輛汽車羅伊斯、保時捷。

起亞現已修復了所報告的漏洞，該公司回應稱該漏洞從未在野外被積極利用。

然而，這一消息引發了有關業主隱私和安全的重要問題。 2023 年初，Mozilla 基金會的一項研究表明，在Mozilla 自2017 年以來研究的十多個產品類別中，汽車的隱私分數最差，其中包括健身追蹤器、生殖健康應用、智慧揚聲器和其他連網家用電器。

汽車中感測器的激增——從遠端資訊處理到完全數位化的控制台——使它們成為龐大的數據收集中心，常常引起人們對其數據隱私政策及其實施的擔憂。