Volkswagen: jeden pożar (względnie) ugaszony, kolejny już szaleje. Wyciekły dane 800 tys. użytkowników aut elektrycznych

Po długich perturbacjach Volkswagen w końcu jako tako dogadał się ze związkowcami, udało się też uratować fabryki przed zamknięciem. Ale wytchnienia nie ma: właśnie wyszło na jaw, iż Grupa VAG ma kolejny problem, bo ze względu na słabe zabezpieczenia doszło do wycieku danych 800 tys. użytkowników elektrycznych aut m.in. Audi, Skody, Cupry oraz Volkswagena. No i wszyscy już wiedzą, co robiłeś zeszłego lata.

Jako jeden z pierwszych o aferze poinformował tygodnik der Spiegel. Okazuje się bowiem, że dane lokalizacyjne i osobowe dotyczące ok. 800 000 właścicieli pojazdów elektrycznych przez wiele miesięcy były swobodnie dostępne w internecie. I to w zasadzie dla wszystkich.

Mówiąc bardziej obrazowo – jeżeli masz BEV-a ze stajni Grupy VAG, to dziś już każdy wie, co robiłeś ostatniego lata. I dokąd jeździłeś od tamtej pory. Jakby tego było mało, wśród osób dotkniętych wyciekiem danych są i politycy, i osoby publiczne z pierwszych stron gazet. I to nie tylko z Niemiec, ale z całej Europy. W tym – prawdopodobnie i z Polski.

https://magazynauto.pl/wiadomosci/jest-final-negocjacji-prace-w-vw-straci-kilkadziesiat-tysiecy-osob-ale-nie-bedzie-zamykania-fabryk-zaskoczeniem-miejsce-produkcji-niegdys-kluczowego-modelu,aid,4793

Wyciek poufnych danych z serwerów: co na razie na ten temat wiemy?

A jak do tego w ogóle doszło? Otóż dane z aplikacji VW były przechowywane w nieodpowiednio zabezpieczonej chmurze. Za zamieszanie winy nie ponosi jednak Amazon – to do tej firmy należały „dziurawe” serwery – a spółka-córka VW o nazwie Cariad. To ten podmiot opracował dla Grupy VAG aplikację, od której wszystko się zaczęło.

Aplikacje umożliwiające zdalne konfigurowanie wybranych systemów auta ma dziś w ofercie większość producentów. Ale nawaliła Grupa VAG... fot. archiwum/Motor

Jak każda tego typu aplikacja, również ta opracowana przez firmę Cariad, umożliwia właścicielom elektryków ze stajni VAG m.in. zdalne ustawianie klimatyzacji, sprawdzanie stanu naładowania baterii itp. Sęk w tym, iż apka zbiera również informacje z GPS i dane dotyczące jazdy, a następnie przesyła je z powrotem do producenta. Przedstawiciel spółki Cariad przekazał w rozmowie ze Spieglem, iż gromadzenie danych dotyczących nawyków kierowców związanych z ładowaniem baterii jest potrzebne do tego, by producent mógł stale ulepszać technologię oraz elektronikę sterującą. Dane te miały nie być łączone z innymi zbiorami danych wewnątrz firmy, co z kolei powinno uniemożliwiać ich powiązanie z konkretnymi osobami i profilami pojazdów.

Dziś wiemy już, iż to bez znaczenia o tyle, że wrażliwe informacje pozostawiono niezaszyfrowane i niemal całkowicie „odsłonięte”. Spiegel ironizuje, iż wystarczyło wiedzieć, gdzie szukać, a dostęp do nich był łatwy choćby dla znudzonych nastolatków.

https://magazynauto.pl/porady/czy-nowe-przepisy-utrudnia-serwisowanie-auta-wiekszy-nacisk-na-zabezpieczenie-systemow-diagnostycznych-przed-cyberatakami,aid,4627

Dane lokalizacyjne z dokładnością do 10 centymetrów, czyli każda zdrada wyjdzie na jaw

Oprogramowanie pozwala określić położenie elektrycznych VW z dokładnością do 10 cm. jeżeli więc planujesz zdradzić partnera/partnerkę, lepiej wybierz inne auto. fot. archiwum/Motor

Słabe zabezpieczenia sprawiły, iż normalnie niewidoczne strony i podstrony Cariad stały się widoczne dzięki łatwym do złamania zabezpieczeniom. Aby złamać jedno z nich, wystarczyło zmienić rozszerzenia konkretnych plików. To z kolei dawało dostęp do świeżo wygenerowanego zrzutu pamięci wewnętrznej aplikacji Cariad. Nie wymagało to hasła, a w zrzucie znajdowały się dane logowania do chmury Amazon, która przechowywała wszystkie wrażliwe informacje dotyczące pojazdów. Koniec, koło się zamyka.

Na domiar złego niektóre ujawnione informacje są dość szczegółowe. Przykład? Proszę bardzo: dla modeli VW i Seata/Cupry wyciekły dane geolokalizacyjne, których precyzja sięgała… 10 cm od faktycznej lokalizacji pojazdu. W przypadku Audi i Skody było to ok. 10 km – czyli już wystarczająco blisko, aby podejrzewać partnera o zdradę, ale na tyle daleko, by… dać mu jeszcze szansę wytłumaczenia się. Wśród ujawnionych danych znalazły się również adresy e-mail właścicieli, adresy zamieszkania i numery telefonów.

https://magazynauto.pl/wiadomosci/tesla-omylkowo-przekazala-kontrole-nad-autem-innego-wlasciciela-doprowadzilo-to-do-dziwnych-sytuacji,aid,2461

Z pomocą Volkswagenowi przyszli... hakerzy

Jak na ironię, dopiero największe niemieckie stowarzyszenie hakerów (Chaos Computer Club; CCC), poinformowało Grupę VAG o luce w zabezpieczeniach. I dopiero dzięki temu wyciek danych dało się zatrzymać. Cariad twierdzi, iż poza zgłoszeniem od CCC nie ma żadnych dowodów na niewłaściwe wykorzystanie danych przez osoby trzecie. Ponadto, żadne hasła ani informacje o płatnościach nie zostały ujawnione, więc właściciele nie muszą podejmować dodatkowych działań. Jesteście już spokojni? Bo my chyba jednak nie do końca.