Хакеры научились взламывать BMW через официальный сайт автопроизводителя

Специалисты обнаружили на web-странице автопроизводителя BMW, а также на  интернет-портале Connected Drive, несколько уязвимостей.

Последний ресурс используется при установке различных приложений, включая email-клиента и программу для управления профилем водителя.

При авторизации на сайте пользователь вводит VIN-номер своего авто, но при подмене идентификационного номера, авторизированный пользователь получает контроль над активной сессией своей «жертвы».

Также специалисты обнаружили межсайтовый скриптинг – эта уязвимость скрывается в системе восстановления пароля. При помощи данной системы хакеры без проблем получают доступ к секретному коду другого пользователя.

Отметим, что об уязвимости специалисты сообщили представителям BMW еще в феврале 2016 года, однако реакция от автопроизводителя последовала лишь в апреле. При этом информации о том, была ли устранена уязвимость, пока не поступала.