Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

Falla nell’app di Hyundai: “un hacker poteva rubare l’auto”

Apr 26, 2017 Marco Schiaffino News, RSS, Vulnerabilità 1

L’applicazione usava una connessione non sicura per inviare dati alla casa madre. Intercettandola era possibile localizzare l’auto, aprirla e… accenderla!

Troppo smart per essere sicure. Le automobili che sfruttano tecnologie mobile continuano ad arricchire la galleria degli orrori della sicurezza informatica.

Questa volta è il turno di Hyundai, che ha dovuto rilasciare un aggiornamento della sua app per smartphone Blue Link prima che qualcuno riuscisse ad approfittare di una falla che avrebbe consentito addirittura di rubare l’automobile.

Come spiegano William Hatzer e Arjun Kumar nel blog di Rapid7, il problema affliggeva le versioni 3.9.4 e 3.9.5 dell’app di Hyundai, che utilizzava per le comunicazioni un collegamento HTTP “protetto” con una chiave crittografica fissa (1986l12Ov09e) incorporata nel codice dell’applicazione stessa.

Una vulnerabilità decisamente pericolosa, visto che chiunque sarebbe stato in grado di estrarre la chiave con estrema facilità e ottenere così la possibilità di decodificare le comunicazioni tra l’app e i server di Hyundai, che l’azienda aveva introdotto allo scopo di registrare statistiche sull’utilizzo dell’applicazione.

Poter accendere l’auto dallo smartphone è una bella comodità… sempre che non lo faccia qualcun altro.

In uno scenario del genere, per un cyber-criminale basterebbe portare un attacco “man in the middle”, o anche uno sniffing all’interno di una rete Wi-Fi non protetta, per impossessarsi di informazioni riservate come l’indirizzo di posta elettronica del proprietario, la password, il PIN e la cronologia dei rilevamenti GPS.

Ancora più grave, le informazioni raccolte consentirebbero di localizzare l’auto, aprirla e avviarla. Insomma: rubarla.

La vulnerabilità è stata risolta con il rilascio della versione 3.9.6 dell’app (disponibile sia per Android che per iPhone) e il rischio di attacchi nei confronti degli utenti che dovessero usare una versione non aggiornata di Blue Link è stato mitigato bloccando le comunicazioni TCP verso il server.

Condividi l'articolo