นักวิจัยด้านความปลอดภัยได้เปิดเผยการค้นพบช่องโหว่ร้ายแรงในบริการ STARLINK ของ Subaru ที่อาจทำให้ผู้ไม่ประสงค์ดีสามารถติดตาม ควบคุม และยึดยานพาหนะในสหรัฐอเมริกา แคนาดา และญี่ปุ่นได้ โดยใช้เพียงหมายเลขทะเบียนรถ
Sam Curry นักล่าค่าหัวบั๊ก (Bug Bounty Hunter) เปิดเผยเมื่อวันที่ 20 พฤศจิกายน 2024 ว่าช่องโหว่นี้ถูกค้นพบร่วมกับ Shubham Shah นักวิจัยด้านความปลอดภัย โดยช่องโหว่ดังกล่าวช่วยให้ผู้โจมตีสามารถเข้าถึงบัญชีและยานพาหนะของลูกค้าได้อย่างไม่จำกัด ข้อมูลที่ต้องใช้มีเพียงนามสกุลและรหัสไปรษณีย์ อีเมล หมายเลขโทรศัพท์ หรือหมายเลขทะเบียนรถของเหยื่อ
การโจมตีผ่านช่องโหว่นี้อาจทำให้แฮ็กเกอร์สามารถ:
- ควบคุมรถยนต์จากระยะไกล: สตาร์ทหรือดับเครื่องยนต์ ล็อกหรือปลดล็อกรถ และดึงตำแหน่งปัจจุบันของรถยนต์
- ดึงประวัติตำแหน่งย้อนหลัง: สามารถเข้าถึงตำแหน่งย้อนหลังของรถยนต์ในช่วง 1 ปีที่ผ่านมา ด้วยความแม่นยำภายใน 5 เมตร และอัปเดตข้อมูลทุกครั้งที่เครื่องยนต์เริ่มทำงาน
- เข้าถึงข้อมูลส่วนตัวของลูกค้า (PII): เช่น ผู้ติดต่อฉุกเฉิน ผู้ใช้งานที่ได้รับอนุญาต ที่อยู่ ข้อมูลการเรียกเก็บเงิน (รวมถึง 4 หลักสุดท้ายของบัตรเครดิต) และรหัส PIN ของยานพาหนะ
- ดึงข้อมูลอื่นๆ: เช่น ประวัติการติดต่อฝ่ายสนับสนุน เจ้าของรถยนต์คนก่อน ระยะไมล์สะสม และประวัติการขาย
Curry ยังได้สาธิตวิดีโอแสดงวิธีใช้ช่องโหว่นี้ในการดึงข้อมูลตำแหน่งย้อนหลังมากกว่าหนึ่งปีของรถ Subaru โดยใช้เวลาเพียง 10 วินาที
Curry กล่าวเพิ่มเติมว่า “หนึ่งในจุดเชื่อมต่อ (endpoint) ที่น่าสนใจคือระบบค้นหายานพาหนะ ซึ่งช่วยให้สามารถค้นหาข้อมูลโดยใช้นามสกุลและรหัสไปรษณีย์ หมายเลขโทรศัพท์ อีเมล หรือหมายเลข VIN (ที่สามารถดึงได้จากหมายเลขทะเบียนรถ) และสามารถให้หรือแก้ไขสิทธิ์การเข้าถึงยานพาหนะได้”
เขายังระบุด้วยว่า หลังจากทดลองค้นหาและพบยานพาหนะของตัวเองในแดชบอร์ดผู้ดูแลระบบ STARLINK เขายืนยันได้ว่าแดชบอร์ดนี้สามารถเข้าถึงยานพาหนะ Subaru แทบทุกคันในสหรัฐอเมริกา แคนาดา และญี่ปุ่น
การค้นพบช่องโหว่นี้ชี้ให้เห็นถึงความสำคัญของการรักษาความปลอดภัยในระบบเชื่อมต่อของยานพาหนะ ที่อาจส่งผลกระทบต่อผู้ใช้งานในวงกว้าง ทาง Subaru ยังไม่ได้แถลงการณ์อย่างเป็นทางการเกี่ยวกับการแก้ไขปัญหานี้ในขณะนี้
อ่านเพิ่มเติมที่นี่ – BPC
