La investigación de Shaw y Curry los llevó al descubrimiento de las vulnerabilidades de Subaru, cuando descubrieron que la aplicación Starlink de la madre de Curry estaba conectada al dominio subarux.com, que se dieron cuenta de que era un dominio administrativo para los empleados. Al visitar ese sitio por fallas de seguridad, descubrieron que podían restablecer las contraseñas de los empleados adivinando su dirección de correo electrónico, lo que les dio la posibilidad de encontrar cualquier cuenta de empleado. La funcionalidad de restablecimiento de contraseña pedía respuestas a dos preguntas de seguridad, pero descubrieron que esas respuestas se verificaban con un código que se ejecutaba localmente en el navegador del usuario, no en el servidor de Subaru, lo que permitía eludir fácilmente la seguridad. “En realidad, hubo múltiples fallas sistémicas que llevaron a esto”, dijo Shaw.
Dos investigadores encontraron una dirección de correo electrónico de un desarrollador de Subaru StarLink en LinkedIn, confiscaron la cuenta del empleado y pronto descubrieron que podían usar el acceso de ese empleado para buscar a cualquier propietario de Subaru por apellido, código postal, dirección de correo electrónico y teléfono. número o matrícula para acceder a sus configuraciones de Starlink. En segundos, pueden reasignar el control a las funciones StarLink del vehículo de ese usuario, incluida la capacidad de desbloquear el automóvil de forma remota, tocar la bocina, encender o detectar el encendido, como se muestra en el video a continuación.
Esas vulnerabilidades por sí solas, para los conductores, plantean graves riesgos de robo y seguridad. Curry y Shaw señalan que un pirata informático podría atacar a una víctima por atropello y fuga o robo al observar la ubicación del vehículo de alguien y luego desbloquearlo en cualquier momento, aunque un ladrón también tendría que usar un método especial para de alguna manera desactivar la inmovilización del coche. Pieza que impide la entrada sin llave.
Esos métodos de seguimiento y piratería de vehículos no son únicos. El verano pasado, Curry y otro investigador, Nico Rivera, Presentado a Wired Podrían realizar un truco similar con los millones de vehículos que Kia ha vendido. En los dos años anteriores, un gran grupo de investigadores, del que formaban parte Curry y Shaw, Se descubre una vulnerabilidad de seguridad basada en la web que afecta a los automóviles Vendido por Acura, BMW, Ferrari, Genesis, Honda, Hyundai, Infiniti, Mercedes-Benz, Nissan, Rolls-Royce y Toyota.
