Lỗ hổng nghiêm trọng cho phép hacker từ xa mở cửa và nổ máy ô tô

Trước khi đi sâu hơn, chúng tôi muốn khuyên bạn nên chuẩn bị tinh thần, bởi bài viết này sẽ đề cập đến những lỗ hổng ngớ ngẩn đến mức khó tin. Hai nhà nghiên cứu bảo mật đã hợp tác và, vào đầu năm 2026, thành công xâm nhập vào cơ sở hạ tầng kết nối backend của hai nhà sản xuất ô tô, cho phép họ mở cửa từ xa bất kỳ chiếc xe nào có kết nối internet và khởi động động cơ của chúng trên nhiều khu vực khác nhau trên thế giới.

Các lỗ hổng đã được vá nhanh chóng, liên quan đến một loạt vấn đề bảo mật khó tin với nhiều API máy chủ mà các ứng dụng di động tương ứng của họ sử dụng. Hơn nữa, mặc dù việc mở cửa xe và khởi động từ xa là những phần đáng lo ngại nhất, các lỗ hổng này cũng làm lộ vị trí của xe, số km đã đi, nhiên liệu, tầm hoạt động, trạng thái cửa và thông tin cá nhân của khách hàng.

Bộ đôi hacker mũ trắng không tiết lộ tên của các hãng xe bị ảnh hưởng, nhưng họ đã truy cập thành công vào các xe tại Mỹ của Hãng ô tô số 1, trong khi các xe từ Hãng ô tô số 2 có nguy cơ bị mở khóa ngoài ý muốn tại Úc, Mỹ và Canada. Theo quan sát trực quan, công ty thứ hai có thể là Toyota, vì video minh họa vụ hack có vẻ mô tả một chiếc xe SUV RAV4.

Cả hai hãng xe bị ảnh hưởng đều sử dụng dịch vụ xác thực và cấp quyền của ForgeRock, ngoại trừ một ngoại lệ nhỏ, các lỗ hổng mà Shubham Shah và Sam Curry tìm thấy đều liên quan đến việc triển khai kém và thực tiễn bảo mật lỏng lẻo. Một trong các bài viết của họ đi sâu vào chi tiết các vấn đề liên quan đến ForgeRock cho cả hai công ty, trong khi bài viết của Shah thảo luận cụ thể về hãng ô tô số 2 và cơ sở hạ tầng xe kết nối của họ tại Úc.

Shah lần đầu tiên dịch ngược ứng dụng Android của công ty và tìm thấy các lệnh gọi mạng đến một tên miền phụ viễn thông, nhanh chóng tìm ra vị trí "admintool" chứa trang "TEST HARNESS" có lời nhắc đăng nhập. Điểm có vấn đề đầu tiên là điểm cuối này có thể truy cập được từ internet công cộng. Nhưng điều thực sự thu hút sự chú ý của Shah là vấn đề thứ hai: một gói mã nguồn JavaScript đáng lẽ phải được loại bỏ các thành phần thừa thãi thì thực ra lại chứa toàn bộ mã chức năng của backend, cung cấp một bản đồ để thực hiện các bước tiếp theo.

Chỉ riêng điều này đã cấp cho Shah khả năng lấy thông tin khách hàng bằng các khóa API được mã hóa cứng bên trong đoạn JavaScript nói trên. Sau một số thao tác chuỗi yêu cầu cẩn thận và kết nối biển số xe với số VIN bằng thông tin công khai, anh đã liên kết được với khách hàng và tìm thấy email của họ. Tại thời điểm này, nhóm nhận thấy nhà sản xuất ô tô đang sử dụng cơ chế xác thực của ForgeRock và mất "vài tuần" để tìm hiểu cách thức hoạt động của chúng.

Và đây cũng là nơi họ đánh giá rằng con đường dễ dàng nhất để chiến thắng là tạo ra một mã thông báo truy cập (access token) cho bất kỳ người dùng nào, một nhiệm vụ trở nên dễ dàng hơn nhiều nhờ gói JavaScript "bị nguyền rủa" mà họ tìm thấy tại một điểm cuối chứa thông tin xác thực quản trị viên được mã hóa cứng. Những thông tin này rất có thể dành cho môi trường thử nghiệm, nhưng bộ đôi đã phán đoán chính xác rằng họ vẫn có thể tận dụng chúng.

Lúc này, họ gặp phải tường lửa ứng dụng web (WAF) ở phía trước dịch vụ. Tường lửa ứng dụng web tương tự như tường lửa mạng, nhưng thay vì xử lý các IP và cổng, nó xem xét các điểm cuối (URL) và các yêu cầu để truy cập chúng. Các nhà nghiên cứu giả định rằng mặc dù đó là một thực tiễn tốt và tiêu chuẩn, WAF đã được đưa ra bởi vì tình hình bên dưới quá tồi tệ.

Và họ đã đúng. Việc dịch ngược ứng dụng đã tiết lộ một "pinService", và Shah phát hiện ra rằng dịch vụ này có thể truy cập được thông qua WAF. Từ đó, họ tìm thấy "getUser", và đoán chính xác rằng họ có thể lấy thông tin của người dùng bằng email, số điện thoại và ID của họ. Bạn có nhớ những thông tin xác thực quản trị viên đó không? Chúng rất hữu ích, tiết lộ mã băm mật khẩu của người dùng, nhưng vì đây là SHA-512 nên việc bẻ khóa là bất khả thi.

Tại thời điểm này, họ đã để GPT-5.6 Sol Ultra tự do vét cạn tên đường dẫn, và tìm thấy một đường dẫn không được bảo vệ cho phép họ cuối cùng ghi đè mật khẩu của bất kỳ người dùng nào, phần nào cho phép chiếm đoạt tài khoản của họ. Tuy nhiên, vẫn còn lớp bảo mật đa yếu tố (MFA) phải đối mặt.

Hóa ra, ngay cả điều đó cũng bị cấu hình sai, vì môi trường Úc cho phép người dùng bỏ qua hoàn toàn MFA. Với một số thao tác xáo trộn mã thông báo một cách khôn ngoan trên các điểm cuối và ứng dụng di động, cuối cùng họ có thể tạo ra các mã thông báo truy cập, cho phép họ mạo danh hoàn toàn bất kỳ tài khoản người dùng nào... và mở khóa ô tô của họ. Sau đó, mọi việc đơn giản chỉ là gửi một yêu cầu API cho lệnh "mở khóa cửa", và chiếc xe thử nghiệm đã mở cửa ngay lập tức.