Pesquisadores de segurança descobriram múltiplas vulnerabilidades nas unidades de infoentretenimento usadas em alguns carros Skoda que poderiam permitir que atores mal-intencionados acionassem remotamente certos controles e rastreassem a localização do carro em tempo real. A empresa de segurança cibernética PC Automotive, especializada no setor automotivo, anunciou 12 novas vulnerabilidades de segurança que afetam o mais recente modelo do sedã Superb III da Skoda na conferência Black Hat Europe esta semana. No ano anterior, o grupo anunciou outras nove vulnerabilidades que afetavam o mesmo modelo de veículo. Skoda é uma marca de automóveis de propriedade da gigante automobilística alemã Volkswagen.


Danila Parnishchev, diretora de avaliações de segurança da PC Automotive, disse que os hackers poderiam reunir essas vulnerabilidades e explorá-las para injetar malware nos carros. Um invasor precisaria estar conectado à unidade de mídia do Skoda Superb III via Bluetooth para explorar as vulnerabilidades, mas ele observou: “O ataque pode ser realizado dentro de um alcance de 10 metros e não requer autenticação”.

As vulnerabilidades foram descobertas na unidade de infoentretenimento MIB3 do carro, permitindo que um invasor executasse código irrestrito e código malicioso sempre que a unidade fosse iniciada. De acordo com a PCAutomotive, isso pode permitir que um invasor obtenha coordenadas GPS do veículo em tempo real e dados de velocidade, grave conversas através do microfone do veículo, faça capturas de tela da tela de infoentretenimento e reproduza sons arbitrários dentro do veículo.

A PCAutomotive verificou essas falhas em um Superb III, e também é possível que um invasor roube o banco de dados de contatos do telefone celular do proprietário se o proprietário tiver habilitado a sincronização de contatos com o carro.

“Normalmente, os telefones celulares são criptografados, de modo que o banco de dados de contatos não pode ser facilmente extraído, e o banco de dados de contatos dos dispositivos de infoentretenimento geralmente é armazenado em texto não criptografado”, disse Parnishchev.

Parnishchev destacou que eles não encontraram uma maneira de contornar as restrições do gateway da rede no veículo sobre o acesso aos controles críticos para a segurança do carro, como volante, freios e acelerador.

A PCAutomotive compartilhou o relatório antes de uma nota de pesquisa divulgada na quinta-feira afirmando que unidades MIB3 vulneráveis ​​são usadas em vários modelos da Volkswagen e Skoda, com estimativas de que o número de veículos vulneráveis ​​poderia exceder 1,4 milhão com base em dados de vendas públicas.

Se o mercado pós-venda for levado em conta, o número de veículos vulneráveis ​​será provavelmente muito maior. “Se você procurar um número de peça no eBay, você o encontrará”, explicou ele. "Se o usuário anterior não o excluiu, o banco de dados de contatos ainda estará lá."

A Volkswagen corrigiu as vulnerabilidades depois que elas foram relatadas por meio do Programa de Divulgação de Segurança Cibernética da empresa;

O porta-voz da Skoda, Tom Drechsler, disse em comunicado por e-mail: "As vulnerabilidades relatadas no sistema de infoentretenimento foram e estão sendo abordadas e eliminadas por meio do gerenciamento de melhoria contínua do ciclo de vida do produto. Em nenhum momento houve qualquer ameaça à segurança de clientes ou veículos."