ช่องโหว่ในระบบ Subaru Starlink ทำให้ยานยนต์และบัญชีลูกค้าในสหรัฐฯ แคนาดา และตกอยู่ในความเสี่ยงจากการโจมตีทางไกล โดย Sam Curry และ Shubham Shah นักวิจัยด้านความปลอดภัยทางไซเบอร์ ได้ค้นพบช่องโหว่ดังกล่าว ซึ่งเปิดโอกาสให้ผู้โจมตีที่มีข้อมูลพื้นฐาน เช่น ชื่อ อีเมล หรือป้ายทะเบียน สามารถควบคุมรถยนต์ เข้าถึงข้อมูลส่วนบุคคล (PII) ประวัติการเดินทาง และข้อมูลการเรียกเก็บเงินได้โดยไม่จำกัด หลังจากที่ได้แจ้งเตือนกับทาง Subaru เมื่อวันที่ 20 พฤศจิกายน 2024 บริษัทสามารถแก้ไขช่องโหว่ได้ภายใน 24 ชั่วโมง
นักวิจัยพบช่องโหว่ในแผงควบคุมผู้ดูแลระบบ (admin panel) บนโดเมนย่อยของ Subaru โดยสามารถรีเซ็ตรหัสผ่านบัญชีพนักงานได้โดยไม่ต้องยืนยันตัวตน และข้ามการยืนยันตัวตนแบบสองขั้นตอน (2FA) เมื่อล็อกอินเข้าสู่ระบบได้ จะสามารถดึงข้อมูลลูกค้าและยานยนต์ เช่น VIN ประวัติการเดินทาง ชื่อ เบอร์โทร และรายละเอียดการเรียกเก็บเงิน อีกทั้งยังสั่งการยานยนต์ เช่น ปลดล็อกประตู โดยเจ้าของรถไม่ได้รับการแจ้งเตือน
Curry และทีมยังเคยค้นพบช่องโหว่ในระบบของ Kia และแบรนด์รถยนต์ชื่อดังหลายยี่ห้อ เช่น Honda, Infiniti, Nissan รวมถึงแบรนด์หรูอย่าง Rolls Royce และ Ferrari โดยช่องโหว่เหล่านี้เปิดโอกาสให้ผู้โจมตีควบคุมฟังก์ชันหลักของรถยนต์และขโมยข้อมูลส่วนตัวได้ การค้นพบช่องโหว่เหล่านี้มีความสำคัญต่อการพัฒนาความปลอดภัยในระบบเชื่อมต่อยานยนต์ เพื่อลดความเสี่ยงจากการโจมตีทางไซเบอร์ในอนาคต
แหล่งข่าว https://securityaffairs.com/173434/security/subaru-starlink-vulnerability-remote-attacks.html
————————————————————————————————–
ที่มา : thaicert / วันที่เผยแพร่ 27 ม.ค. 68
Link : https://shorturl.at/Biljj
