Theo The Hacker News, hai chuyên gia an ninh mạng Shubham Shah và Sam Curry đã phát hiện những điểm yếu trong hệ thống đăng nhập của hai thương hiệu ô tô lớn, cho phép họ chiếm quyền tài khoản khách hàng và điều khiển một số chức năng của phương tiện từ xa.
Họ đã thử nghiệm toàn bộ cuộc tấn công trên xe của mình và một số xe khác đã có sự đồng ý của chủ sở hữu tại Mỹ vào tháng 2 năm 2026. Cả hai hệ thống của các hãng xe đều được khắc phục trong khoảng hai giờ sau khi họ báo cáo sự cố.
Cả hai hãng đều sử dụng ForgeRock, nền tảng quản lý danh tính hiện thuộc Ping Identity, để xác thực người dùng trên ứng dụng di động. Trong quá trình nghiên cứu, các chuyên gia phát hiện máy chủ OpenIDM lưu trữ thông tin khách hàng vẫn duy trì bảng điều khiển quản trị Apache Felix với tên đăng nhập và mật khẩu mặc định là admin:admin.
Mặc dù bảng điều khiển đã được chặn truy cập trực tiếp từ Internet, nhóm nghiên cứu vẫn tìm được cách vượt qua lớp bảo vệ bên ngoài. Nguyên nhân xuất phát từ sự khác biệt trong cách xử lý đường dẫn giữa hệ thống bảo vệ và phần mềm máy chủ phía sau, khiến một số yêu cầu truy cập được xử lý không đúng như dự kiến.
Sau khi đăng nhập vào bảng điều khiển quản trị, nhóm nghiên cứu có thể thực thi mã trên máy chủ quản lý danh tính. Từ đó, họ thay đổi địa chỉ email và mật khẩu của một tài khoản khách hàng, đăng nhập vào ứng dụng di động và nhận được quyền truy cập tương tự chủ tài khoản hợp pháp.
Thông qua tài khoản này, hai chuyên gia đã thử nghiệm thành công việc mở khóa cửa và khởi động động cơ ô tô từ xa, sau đó tắt động cơ và khóa xe trở lại.
Rủi ro an ninh mạng từ mật khẩu mặc định và cấu hình thiếu an toàn
Điểm đáng chú ý của vụ việc là các chuyên gia không cần khai thác một lỗ hổng phần mềm mới. Thay vào đó, họ lợi dụng những sai sót trong quá trình triển khai và cấu hình hệ thống, bao gồm việc duy trì mật khẩu mặc định và sự thiếu đồng nhất giữa các lớp kiểm soát truy cập.
Mật khẩu mặc định thường được nhà sản xuất cung cấp để thuận tiện cho quá trình cài đặt ban đầu. Nếu không được thay đổi hoặc vô hiệu hóa trước khi đưa hệ thống vào hoạt động chính thức, những thông tin đăng nhập này có thể bị lợi dụng để chiếm quyền quản trị.
Bên cạnh đó, vụ việc cũng cho thấy một lớp bảo vệ ở bên ngoài không thể thay thế hoàn toàn các biện pháp bảo mật trực tiếp trên máy chủ và ứng dụng. Những giao diện quản trị không cần thiết cần được gỡ bỏ hoặc vô hiệu hóa, trong khi các dịch vụ bắt buộc duy trì phải được giới hạn quyền truy cập và bảo vệ bằng cơ chế xác thực phù hợp.
Đối với tổ chức, doanh nghiệp, việc rà soát tài khoản mặc định, kiểm tra cấu hình hệ thống, kiểm soát quyền quản trị và đánh giá sự đồng bộ giữa các lớp bảo vệ là những biện pháp cần thiết nhằm hạn chế nguy cơ xâm nhập từ các sai sót trong quá trình vận hành.