Os sistemas de login por trás dos aplicativos móveis de duas marcas de carros podiam ser totalmente assumidos, constataram dois pesquisadores de segurança, o que permitia acessar a conta de qualquer cliente e, no caso de um proprietário com carro conectado, destravar as portas e ligar o motor.
Os dois aplicativos autenticavam os clientes pela ForgeRock, uma plataforma de identidade hoje integrada à Ping Identity, e nesses servidores os pesquisadores chegaram a um console de administração que ainda usava a senha padrão.
Eles testaram o ataque completo apenas em carros próprios e de proprietários que consentiram, nos Estados Unidos, em fevereiro de 2026, e os dois sistemas foram corrigidos cerca de duas horas depois de os pesquisadores relatarem o problema.
Shubham Shah e Sam Curry publicaram o trabalho na semana passada. Eles começaram pelos aplicativos: as duas marcas autenticavam clientes pela mesma plataforma, que funciona em duas partes, uma para login e outra, chamada OpenIDM, que guarda os registros dos clientes.
O OpenIDM vem com um console de administração integrado, baseado na ferramenta Apache Felix. O guia de endurecimento de segurança da ForgeRock orienta os operadores a remover esse console ou protegê-lo antes de colocar o sistema em produção, porque ele armazena sua própria senha separadamente do restante do sistema. Nesses servidores, o console ainda estava presente e continuava usando o padrão documentado: a palavra admin tanto como usuário quanto como senha.
O console estava bloqueado para a internet aberta, mas a borda que protege o site e o software Java por trás dela interpretavam o mesmo endereço web de forma diferente. Ao acrescentar barras codificadas e caracteres extras, os pesquisadores fizeram a borda tratar a requisição como um arquivo estático inofensivo, enquanto o servidor a tratava como o caminho para o console, e a senha padrão fez o resto. O método completo está na análise técnica deles.
Dentro do console, os pesquisadores usaram um agendador integrado para executar pequenos scripts que rodavam código próprio no servidor de identidade. Isso lhes deu um prompt de comando na máquina que guarda os registros de clientes dos logins das duas marcas.
Os registros estavam protegidos pelo mesmo bloqueio do console, mas o código dos pesquisadores alcançava esses dados de dentro do servidor. Eles alteraram o e-mail e a senha de uma conta-alvo, entraram como esse cliente pelo aplicativo normal e receberam os mesmos tokens de acesso que o aplicativo real usa.
Esses tokens eram as chaves do carro. Usando os comandos do próprio veículo da conta, os pesquisadores destravaram as portas e ligaram o motor de um carro de teste, com o proprietário ao lado, e depois desligaram o motor e travaram o carro novamente.
Os pesquisadores foram cuidadosos com o que demonstraram. Eles relataram ser capazes de abrir uma sessão para qualquer conta de cliente nos servidores afetados, mas executaram os comandos do veículo apenas em carros que possuíam ou estavam autorizados a usar. Segundo eles, testaram a cadeia completa "somente com contas e veículos dos Estados Unidos".
Shubham Shah publicou um segundo ataque contra os sistemas australianos das mesmas marcas. Ali, a entrada foi diferente: credenciais de administrador do servidor de identidade tinham sido deixadas no código do aplicativo, destinado a uma configuração de teste. Ele detalhou toda a cadeia australiana em uma publicação separada.
Com os dois ataques combinados, afirmaram os pesquisadores, era possível enviar comandos de destravamento e de ligar o motor aos carros das marcas na Austrália, nos Estados Unidos e no Canadá. A segunda publicação não informa quando os sistemas australianos foram corrigidos.
O ataque deixava pouco para o proprietário perceber. Trocar o e-mail e a senha não desconectava o dono do aplicativo, e os pesquisadores podiam direcionar os alertas da conta para o próprio telefone, mantendo-os longe do celular do proprietário.
Os pesquisadores restauraram o e-mail real após o teste. Nenhuma das duas publicações diz se alguém mais encontrou ou usou esse caminho antes de ele ser fechado.
O que as equipes de identidade devem verificar
O erro das marcas esteve na forma como configuraram a ForgeRock, e não em uma nova falha do produto. Por isso não há um CVE (identificador público que cataloga uma vulnerabilidade) nem um comunicado do fornecedor a seguir. O console e sua senha padrão são documentados há anos, e o guia de endurecimento para produção do fabricante já orienta os operadores a remover o console ou trocar sua senha antes de colocar o sistema no ar.
Para equipes que usam o mesmo software de identidade, agora comercializado como PingIDM, duas verificações são importantes:
- Procure o console Apache Felix em /system/console e remova-o ou troque sua senha padrão.
- Não conte com regras de caminho da borda ou de firewall de aplicação web (WAF) para esconder uma página de administração. Um caminho que a borda e o servidor interpretam de forma diferente pode passar pelas regras, como aconteceu aqui.
Os dois pesquisadores têm um longo histórico nesse tipo de trabalho, geralmente invadindo os sistemas web por trás dos aplicativos, e não os próprios carros. Eles já demonstraram acesso remoto a veículos da Honda, da Kia e da Subaru, entre outras.
Uma falha em um serviço de carro conectado da Subaru expôs contas de proprietários e seus carros, e um estudo mais amplo, com 16 marcas, feito em 2023, encontrou o mesmo tipo de fragilidade web em grande parte do setor.
