Конфигурация сервера CalAmp позволила перехватить данные о машинах

Конфигурация сервера CalAmp позволила перехватить данные о машинах

Конфигурация сервера CalAmp позволила перехватить данные о машинах

Неправильно сконфигурированный сервер, принадлежащий компании CalAmp, позволял любому получить доступ к данным учетной записи и перехватить информацию о связанном с ней транспортном средстве. CalAmp — это компания, предлагающая бекенд-услуги.

Эксперты в области кибербезопасности Вангелис Стикас и Джордж Лавданис искали уязвимости в системе Viper SmartStart, которая позволяет пользователям удаленно запускать, блокировать, разблокировать или находить свои автомобили. Для этого достаточно использовать специальное мобильное приложение.

Это приложение использует SSL, сертификат жестко закодирован в клиенте. Эксперты обратили внимание, что приложение подключается к домену mysmartstart.com, а также к стороннему https://colt.calamp-ts.com/, что является сервисом Lender Outlook для Calamp.com.

Специалисты поняли, что войти в панель можно, используя учетные данные пользователя приложения.

«Эта панель представляет собой внешний интерфейс для сервиса Calamp.com Lender Outlook. Мы попробовали залогиниться, используя данные пользователя приложения, и это сработало!», — пишут в блоге исследователи.

«Панель предназначалась для компаний, у которых имелось несколько субаккаунтов и транспортные средства, которыми они могли управлять».

Дальнейшие тесты показали, что войти в систему можно с ограниченными правами, но при этом останется доступ к большому количеству отчетов. Таким образом, специалисты получили доступ ко всем отчетам обо всех транспортных средствах (включая историю местоположений), а также к именам пользователей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

FTC запретила GM передавать данные с подключенных автомобилей

Федеральная торговая комиссия США (FTC) запретила General Motors (GM) и её дочерней компании OnStar передавать данные о местоположении автомобилей и поведении водителей третьим сторонам, включая страховые компании и брокеров данных. Запрет будет действовать в течение пяти лет.

Официальное заявление FTC опубликовано на сайте ведомства. Решение стало ответом на многочисленные жалобы американских автовладельцев, возмущённых произвольными изменениями страховых тарифов без уведомления клиентов.

Как выяснилось в ходе расследования, проведённого The New York Times весной 2024 года, GM собирала данные о манере вождения и привычках пользователей своих автомобилей. Эти сведения продавались страховым компаниям как напрямую, так и через брокеров данных, таких как LexisNexis и Verisk.

Дополнительную информацию также собирала дочерняя структура GM — компания OnStar. Пользователи не были должным образом уведомлены о том, что их данные могут передаваться третьим лицам, включая страховые компании.

При этом OnStar изначально позиционировался как бесплатный сервис для помощи в чрезвычайных ситуациях. Однако собранные данные передавались страховым компаниям, которые использовали их для корректировки тарифов.

В некоторых случаях страховщики отказывались продлевать договоры на прежних условиях, не информируя клиентов.

Глава FTC Лина Хан отметила, что GM фиксировала данные о геолокации и поведении водителей с интервалом в три секунды, а затем передавала их третьим лицам.

«Запрет на передачу этой информации обеспечит конфиденциальность и защитит американцев от бесконтрольного наблюдения», — подчеркнула она.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru