Данные клиентов 800 000 электромобилей и их владельцев попали в сеть

Компания Cariad, занимающаяся разработкой программного обеспечения для автомобилей Volkswagen, обнародовала данные, собранные примерно с 800 000 электромобилей. Эту информацию можно было связать с именами водителей и узнать точное местоположение автомобиля.

Терабайты данных о клиентах Volkswagen в облачном хранилище Amazon оставались незащищенными в течение нескольких месяцев, что позволяло любому человеку с небольшими техническими знаниями отслеживать передвижения водителей и собирать личную информацию.

В раскрытых базах данных содержатся сведения об автомобилях VW, Seat, Audi и Skoda, причем точность геолокации некоторых из них достигает нескольких сантиметров.

Точные данные о геолокации
Доступ к данным об автомобилях стал возможен благодаря неправильной настройке двух IT-приложений Cariad, сообщил BleepingComputer представитель компании.

26 ноября о проблеме Cariad сообщил Chaos Computer Club (CCC), крупнейшая организация этичных хакеров в Европе, которая уже более 30 лет выступает за безопасность, конфиденциальность и свободный доступ к информации.

По данным немецкого издания Spiegel, CCC узнал об уязвимости от информатора и протестировал небезопасный доступ, после чего сообщил об этом ответственным лицам Cariad и Volkswagen и предоставил технические подробности.

В заявлении для BleepingComputer представитель Cariad сообщил, что уязвимость затронула только те автомобили, которые были подключены к интернету и зарегистрированы для получения онлайн-услуг.

Из почти 800 000 автомобилей, попавших в зону риска, исследователи обнаружили данные о геолокации 460 000 машин, причем точность некоторых из них достигала десяти сантиметров.

Чуть более 30 автомобилей принадлежали патрульным машинам полиции Гамбурга, а остальные - предполагаемым сотрудникам спецслужб, пишет Spiegel.

Компания заявила, что хакеры из CCC смогли получить доступ к данным только после обхода нескольких механизмов защиты, что потребовало значительного времени и технических знаний.

Кроме того, поскольку данные об отдельных автомобилях были псевдонимизированы в целях конфиденциальности, хакерам пришлось объединить различные наборы данных, чтобы связать детали с конкретным пользователем.

Однако Spiegel собрал команду IT-экспертов и журналистов, которые нашли данные о местоположении автомобилей двух немецких политиков, Нади Вайпперт и члена Бундестага Маркуса Грюбеля, используя свободно распространяемое программное обеспечение.

Инструменты искали открытые активы Cariad, содержащие файлы с конфиденциальной информацией, что привело к обнаружению копии дампа памяти внутреннего приложения Cariad.

В дампе памяти хакеры обнаружили ключи доступа к облачному хранилищу на Amazon, где Cariad сохраняла данные, собранные с автомобилей клиентов Volkswagen Group.

Как сообщает Spiegel, некоторые данные указывали на долготу и широту местонахождения автомобилей, когда электромотор был выключен.

«В случае с моделями VW и Seat эти геоданные были точны до десяти сантиметров, а для Audis и Skodas - до десяти километров, и поэтому были менее проблематичны» - Spiegel

Большинство пострадавших автомобилей, 300 000, находились в Германии, но исследователи также нашли сведения об автомобилях в Норвегии (80 000), Швеции (68 000), Великобритании (63 000), Нидерландах (61 000), Франции (53 000), Бельгии (68 000) и Дании (35 000).

Быстрое исправление после ответственного раскрытия информации
Компания Cariad сообщила BleepingComputer, что ее команда безопасности быстро отреагировала на проблему и закрыла доступ в тот же день, когда CCC отправила им отчет.

Представители CCC подтвердили Spiegel, что «техническая команда Cariad отреагировала быстро, тщательно и ответственно» и что компания отреагировала в течение нескольких часов после получения технических деталей.

По результатам проведенного расследования у Cariad нет доказательств того, что другие стороны, кроме хакеров CCC, имели доступ к раскрытым данным об автомобилях или что информация была использована не по назначению третьей стороной.

Компания также подчеркивает, что CCC имела доступ только к данным, собранным с автомобилей, и не могла получить доступ к самим автомобилям.

Cariad утверждает, что клиенты марок Volkswagen Group могут согласиться на использование продуктов и услуг, требующих обработки персональных данных, и в любой момент отключить эту опцию.

Однако компания отмечает, что данные, собранные с автомобилей, помогают ей «предоставлять, развивать и улучшать цифровые функции» для своих клиентов, а также создавать дополнительные преимущества.

«Без этих данных интеллектуальные, цифровые и персонализированные функции не могли бы быть предоставлены, оптимизированы или расширены» - Cariad

В качестве примера компания объясняет, что данные о поведении и привычках клиентов при зарядке обезличиваются и помогают оптимизировать будущие поколения аккумуляторов и программное обеспечение для зарядки.

В то же время собранные данные хранятся в облаке таким образом, чтобы защитить личность клиента и его перемещение вместе с автомобилем.

«Бренды группы Volkswagen собирают, хранят, передают и используют персональные данные исключительно в рамках законодательных норм и существующих договорных отношений, законных интересов или явного согласия клиента», - говорится в сообщении Cariad.

Компания, занимающаяся разработкой программного обеспечения для автомобильной промышленности, также заявляет, что применяет эффективные методы защиты данных, которые включают раздельное хранение точек данных, ограничение прав доступа, псевдонимизацию и анонимизацию, а также агрегирование и обработку данных в рамках заявленных целей.