Нашли уязвимость, через которую можно угнать Tesla

Появился новый способ угнать Tesla возле станций Supercharger: создав фальшивую сеть WiFi Tesla

Программисты и раньше уже находили хакерские уязвимости в Tesla. Стоит быть особенно осторожными при входе в сеть WiFi на зарядных станциях Tesla

Инженеры по безопасности Томми Майск (Tommy Mysk) и Талал Хадж Бакри (Talal Haj Bakry) из Mysk Inc. опубликовали на YouTube видео, в котором объясняют, как легко хакеры могут сбежать с вашим автомобилем с помощью хитрого трюка:

Как это работает?

Многие зарядные станции Tesla, которых в мире насчитывается более 50 тысяч, предлагают сеть WiFi, которая обычно называется «Tesla Guest», в которую владельцы Tesla могут войти и пользоваться ею, пока их автомобиль зарядится

Используя устройство под названием Flipper Zero – простой хакерский инструмент стоимостью $169 – исследователи создали собственную сеть WiFi «Tesla Guest». Когда жертва пытается получить доступ к сети, она попадает на фальшивую страницу входа в систему Tesla, созданную хакерами, которые затем похищают ее имя пользователя, пароль и код двухфакторной аутентификации непосредственно с сайта-дубликата

Хотя Майск использовал Flipper Zero для настройки собственной сети WiFi, этот этап процесса также можно выполнить с помощью почти любого беспроводного устройства, например, Raspberry Pi, ноутбука или мобильного телефона, – говорит Майск в видеоролике

После того, как хакеры похитили учетные данные к учетной записи владельца Tesla, они могут использовать их для входа в настоящее приложение Tesla. Но они должны сделать это быстро, пока не истек срок действия кода 2FA

Одной из уникальных особенностей автомобилей Tesla является то, что владельцы могут использовать свои телефоны в качестве цифрового ключа для разблокировки автомобиля без необходимости иметь физическую ключ-карту

Войдя в приложение с помощью учетных данных владельца, исследователи создали новый телефонный ключ, находясь на расстоянии нескольких метров от припаркованного автомобиля

Хакерам даже не нужно было угонять автомобиль прямо сейчас; они могли отследить местонахождение Tesla через приложение и угнать его позже

Майск говорит, что ничего не подозревающий владелец Tesla даже не получает уведомление об установке нового телефонного ключа. И хотя в инструкции по эксплуатации Tesla Model 3 сказано, что для установки нового ключа требуется физическая карта, Майск обнаружил, что это не так

«Это означает, что из-за утечки электронной почты и пароля владелец может потерять свою Tesla. Это безумие», – сказал Томми Майск в интервью Gizmodo. «Фишинг и атаки на основе социальной инженерии сегодня очень распространены, особенно с развитием технологий искусственного интеллекта, и ответственные компании должны учитывать такие риски»

Когда Майск сообщил о проблеме в Tesla, компания ответила, что провела расследование и решила, что это не является проблемой

Томми Майск сказал, что он неоднократно тестировал этот метод на собственном автомобиле и даже использовал сброшенный iPhone, который никогда раньше не был связан с автомобилем, сообщает Gizmodo. Майск утверждает, что это срабатывало каждый раз

Майск сказал, что эксперимент проводился исключительно в исследовательских целях, и заявил, что никто не должен угонять автомобили 

В конце видео Майск заявил, что проблему можно решить, если Tesla сделает обязательной аутентификацию с помощью физической карточки-ключа и будет уведомлять владельцев о создании нового ключа для телефона

Это не первый случай, когда сообразительные хакеры находят относительно простые способы взломать Tesla

В 2022 году 19-летний парень заявил, что взломал 25 Tesla по всему миру (хотя конкретная уязвимость была исправлена). Позже в том же году охранная компания нашла еще один способ взломать Tesla. Причем дистанционно, за сотни километров от электромобиля