Dua Pabrikan Mobil Ganti Sistem Keamanan Usai Diretas

Dua pabrikan mobil dilaporkan mengubah sistem keamanan mereka hanya berselang dua jam setelah tim peretas memberi tahu adanya celah kerentanan. Celah tersebut memungkinkan akses jarak jauh untuk membuka kunci dan menyalakan kendaraan produsen otomotif tersebut.

Penemuan Celah Keamanan oleh Peretas

Peretas topi putih Shubham Shaw dan Sam Curry menemukan kerentanan pada peladen ForgeRock yang memberikan mereka akses ke masuk akun pelanggan dua produsen mobil, seperti diungkapkan dalam unggahan blog para peretas pada 7 November. Peretas topi putih sendiri bertugas mencari celah kelemahan dalam sistem sebelum dieksploitasi untuk tujuan kejahatan. Unggahan tersebut tidak menyebutkan nama kedua produsen mobil yang dimaksud.

Sistem yang terdampak melayani pelanggan di berbagai wilayah, namun para peretas menyatakan bahwa mereka hanya menguji akun serta kendaraan di Amerika Serikat. Dalam unggahan itu disebutkan bahwa mereka sebelumnya telah menemukan cara mengendalikan kendaraan dari berbagai merek lain dalam beberapa tahun terakhir, tetapi belum pernah menemukan celah yang memberi akses jarak jauh ke kendaraan dari dua pabrikan anonim tersebut.

Akses Data Kendaraan dan Eksploitasi Sistem

Setelah berhasil masuk ke dalam aplikasi, para peretas menyatakan mereka dapat melihat setiap nomor identifikasi kendaraan atau VIN yang dimiliki pemilik di garasi. Informasi lain yang dapat diakses meliputi lokasi, jarak tempuh, bahan bakar, jangkauan baterai, tekanan ban, status pintu dan jendela, kesehatan kendaraan, peringatan, serta status langganan.

Menurut para peretas, mereka pertama kali mengunduh versi Android dari aplikasi kedua produsen mobil dan melacak alur otentikasi mereka kembali ke ForgeRock. Unggahan tersebut mendeskripsikan ForgeRock sebagai platform identitas yang digunakan oleh kedua pabrikan untuk mengelola akun dan masuk pelanggan. Para peretas memaparkan serangkaian langkah yang mereka ambil untuk menonaktifkan dan masuk ke sistem keamanan, termasuk mengganti kredensial serta mengubah alamat surel dan kata sandi pengguna.

Proses penggantian alamat surel dan kata sandi tersebut tidak membatalkan sesi aplikasi yang sedang digunakan oleh pemilik asli. Selama pengujian resmi berlangsung, aplikasi pemilik tetap masuk sementara sesi baru peretas bekerja secara berdampingan. Para peretas menyelami tumpukan identitas lebih dalam dari yang mereka perkirakan semula, dengan akses identitas produksi meluas di direktori yang terdampak untuk kedua produsen mobil di berbagai wilayah, serta memvalidasi rantai akun ke kendaraan secara langsung.

Tindakan Cepat dan Isu Keamanan Data Kendaraan

Para peretas mengakses kendaraan-kendaraan tersebut pada awal tahun 2026 dan segera memberi tahu produsen melalui laporan yang diserahkan kepada tim keamanan produk mereka pada periode yang sama. Kedua pabrikan mobil memperbaiki kerentanan tersebut sekitar dua jam setelah menerima laporan, di mana paket bukti dihapus dan kredensial yang terdampak dirotasi.

Sementara itu, dalam pertemuan Collision Industry Conference pada Juli, pendiri sekaligus CEO Privacy4Cars Andrea Amico menyampaikan bahwa rata-rata mobil dalam sepuluh tahun terakhir memiliki sekitar 250 sensor. Kendaraan telah bertransformasi menjadi perangkat komputasi pribadi ketiga yang digunakan konsumen setiap hari. Namun, kendaraan umumnya masih kekurangan enkripsi atau kontrol tersembunyi jika dibandingkan dengan ponsel atau komputer. Kendaraan dapat mengumpulkan data pribadi melalui kamera, mikrofon, GPS, dan ponsel yang disinkronkan, termasuk riwayat panggilan, kode garasi, biometrik, kontak, serta kata sandi.

Dalam presentasi terpisah di acara yang sama, Tracy Dombrowski dari Collision Advice membagikan contoh kasus seorang wanita yang menjual kendaraannya kepada diler tanpa memutuskan sambungan dari aplikasinya. Wanita tersebut masih bisa melacak kendaraan yang dijual dari Florida ke Texas, menyalakannya dari jarak jauh, serta mengakses kendaraan tersebut kapan saja. Tugas penghapusan data biasanya dibebankan kepada konsumen, namun bengkel dapat membantu sebagai bentuk pelayanan dan Dombrowski menyediakan laman web pabrikan asli yang menawarkan sumber daya untuk menghapus informasi pribadi tersebut.