Otomobil markalarında dijital ihlal
Siber güvenlik araştırmacıları, iki otomobil üreticisinin mobil uygulamalarındaki ForgeRock altyapısındaki zafiyet nedeniyle araçların uzaktan kontrol edilebildiğini tespit etti.
İki otomobil markasının mobil uygulamalarında bulunan kritik bir güvenlik zafiyeti, araçların uzaktan manipüle edilmesine olanak tanıdı. Siber güvenlik uzmanları, bu açık sayesinde kapı kilitlerini açma, motoru çalıştırma ve aracın konum bilgilerine erişim sağlama imkanı buldu. Araştırmacılar Shubham Shah ve Sam Curry tarafından keşfedilen sorun, şirketlerin müşteri hesaplarını yönettiği ForgeRock altyapısında kaynaklanıyordu. Otomobil üreticilerinin talebi üzerine söz konusu markaların kimlikleri kamuoyuyla paylaşılmadı.
Taşköprü Postası'nda yayınlanan habere göre, araştırmacılar sistemin yönetim paneline erişim için kullanılan güvenlik duvarının, web adresi yorumlama farklılıkları nedeniyle aşılabildiğini saptadı. Panelin hem kullanıcı adı hem de parola alanlarında varsayılan "admin" değerlerini kabul etmesi, ciddi bir güvenlik riski oluşturdu. Sunuculara erişim sağlayan uzmanlar, izinli bir test hesabının e-posta adresini ve şifresini değiştirerek mobil uygulama üzerinden yeni bir oturum açtı. Bu yöntemle aracın konum verilerine ve uzaktan kumanda özelliklerine ulaşıldı.
Shah, aracın sahibi yanında bulunurken kapı kilitlerini uzaktan açtığını ve motoru çalıştırdığını belirtti. Hesap bilgileri değiştirilmesine rağmen araç sahibinin telefonundaki aktif oturumun sonlandırılmaması da açığın önemli bir boyutu olarak öne çıktı. NTV'de yer alan bilgilere göre, Avustralya'daki sistemde test ortamı için oluşturulan yönetici bilgilerinin JavaScript dosyasına gömülü olduğu ve bu bilgilerin müşteri sisteminde de geçerli olduğu tespit edildi. Araştırmacılar bu yöntemle izinli bir test aracının kilidini açmayı başardı.
Uzmanlar, Şubat 2026'da ABD'de sadece test amaçlı izin veren araç sahiplerinin otomobillerinde saldırı yöntemini denedi. Bildirimin ardından iki otomobil üreticisinin aynı gün açıkları kapattığı ve etkilenen erişim bilgilerini yenilediği aktarıldı. Ancak Avustralya'daki güvenlik zafiyetinin ne zaman giderildiği ve bu açığın araştırmacılar dışındaki kişiler tarafından kullanılıp kullanılmadığına dair kamuya açık raporlarda bir bilgi yer almadı.
TürkAta Haber Ajansı
Batı Karadeniz Gündemi