A investigação de Sam Curry e Shubham Shah sobre o controlo remoto de carros conectados, publicada a 7 de novembro, tem duas metades. A primeira, que já analisámos, mostra como uma consola de administração com a palavra-passe «admin» abriu caminho à execução de código nos servidores de identidade. A segunda, descrita por Shah a partir da Austrália, é menos espetacular mas mais instrutiva: mostra como falhas comuns na gestão de contas transformaram uma simples matrícula numa porta de entrada.
Em resumo: Na Austrália, a matrícula de um carro bastava como ponto de partida para chegar à conta do dono e enviar comandos ao veículo. A cadeia aproveitou credenciais escondidas em código distribuído aos clientes, um fluxo de autenticação que dispensava a autenticação multifator e sessões que continuavam abertas depois de o dono mudar a palavra-passe. As falhas foram corrigidas em cerca de duas horas. Quem desenvolve aplicações para produtos conectados deve rever exatamente estes três pontos.
Da matrícula ao comando remoto
Segundo o relatório de Shah, bastava conhecer a matrícula de um veículo das duas marcas do fabricante para iniciar a cadeia. A partir daí, cada etapa apoiava-se numa falha diferente, como resume a tabela.
| Etapa | O que acontecia |
|---|---|
| 1. Matrícula → VIN | O número de chassis era obtido a partir da matrícula |
| 2. VIN → cliente | O VIN era convertido no identificador (GUID) do subscritor |
| 3. Credenciais de administração | Estavam embutidas num pacote JavaScript de um fornecedor |
| 4. Contorno da WAF | Travessia de diretórios no URL para chegar ao OpenIDM |
| 5. Contorno da MFA | Uso do fluxo OAuth ROPC, que dispensava o segundo fator |
| 6. Token de aplicação | Emissão de um token válido da aplicação de cliente |
| 7. Comando remoto | Envio do comando ao veículo pela API |
Os testes limitaram-se a viaturas dos próprios investigadores ou com autorização dos donos, e o fabricante corrigiu as falhas cerca de duas horas depois de receber o reporte.
Segredos no código entregue ao cliente
O primeiro erro estrutural foi deixar credenciais de administração e chaves de API fixas dentro de um pacote JavaScript de um fornecedor, isto é, num ficheiro que qualquer pessoa podia descarregar. Em muitas interfaces da ferramenta de administração, essas chaves eram a única barreira. Pior: as credenciais tinham sido pensadas para testes, mas o ambiente de produção aceitava-as.
Tudo o que é entregue ao cliente, seja uma página web ou uma aplicação móvel, deve ser tratado como público. Nenhum segredo que dê acesso a dados de outros clientes pode lá estar.
A autenticação multifator que não protegia
O segundo erro foi manter ativo o fluxo OAuth ROPC (Resource Owner Password Credentials), em que a aplicação envia diretamente o utilizador e a palavra-passe ao servidor. No caso australiano, este fluxo permitia obter um token válido sem passar pelo segundo fator. A autenticação multifator existia, mas havia uma porta lateral que a ignorava.
Do lado norte-americano, Curry apontou uma fragilidade semelhante no desenho do OAuth: na aplicação do primeiro fabricante, o método plain servia tanto para o desafio como para o verificador PKCE, o que reduz a proteção que este mecanismo deveria dar.
Quando mudar a palavra-passe não expulsa o intruso
Há dois pormenores que tornariam um ataque real difícil de detetar. A sessão que o dono já tinha aberta continuava ativa depois da troca de email e de palavra-passe, e um identificador de dispositivo e um token de notificações fornecidos pelo telemóvel eram aceites sem validação, o que permitiria associar à conta um aparelho do atacante. Na prática, o dono podia mudar as credenciais e continuar a partilhar o carro com um intruso sem o saber.
Um padrão que se repete
Não é a primeira vez que estes investigadores conseguem controlar veículos à distância. Honda, Acura, Nissan, Infiniti, Hyundai, Genesis, Ford, Porsche, Kia e Subaru constam do historial da dupla, várias com forte presença no mercado português. O padrão é constante: o automóvel em si é robusto, mas a conta e os servidores que o controlam são o ponto fraco.
O que fazer
Para quem desenvolve aplicações e serviços para produtos conectados:
- retirar segredos, chaves de API e credenciais de qualquer código distribuído aos clientes;
- separar por completo as credenciais de testes das de produção;
- desativar o fluxo ROPC e garantir que a autenticação multifator cobre todos os fluxos de autenticação;
- usar PKCE com o método S256 em vez de plain;
- invalidar todas as sessões e notificar o titular sempre que o email ou a palavra-passe mudem;
- validar no servidor os identificadores de dispositivo, em vez de confiar no que o telemóvel envia.
Para os condutores, a margem de ação é limitada, porque as falhas estavam nos servidores das marcas. Vale a pena usar uma palavra-passe única na conta do automóvel, rever regularmente os dispositivos associados e perguntar à marca se os serviços conectados podem ser desligados quando não são usados.
Porque é que isto importa em Portugal
A localização de um veículo e os dados da conta do proprietário são dados pessoais. Um acesso indevido deste tipo, com clientes na União Europeia, poderia configurar uma violação de dados sujeita ao RGPD. E o fabrico de automóveis está entre os setores abrangidos pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), que exige gestão do risco no controlo de acessos e na cadeia de fornecimento, precisamente onde esta cadeia falhou.
Perguntas frequentes
Porque é que a matrícula bastava para chegar ao carro?
Porque os sistemas do fabricante permitiam converter a matrícula no número de chassis (VIN) e este no identificador do cliente. Com esse identificador e credenciais de administração expostas, era possível chegar à conta associada ao veículo.
O que é o fluxo ROPC e porque é um risco?
O ROPC (Resource Owner Password Credentials) é um fluxo OAuth antigo em que a aplicação envia diretamente o utilizador e a palavra-passe ao servidor. Neste caso, permitia obter acesso sem passar pelo segundo fator de autenticação. As boas práticas atuais desaconselham-no.
Mudar a palavra-passe da conta do carro protege-me?
Ajuda, mas neste caso não bastava: a sessão já aberta continuava ativa depois da troca de email e palavra-passe. É por isso que importa rever também os dispositivos associados à conta. As falhas descritas já foram corrigidas pelos fabricantes.
Que marcas foram afetadas?
Os investigadores não revelaram os nomes. Um dos relatórios refere duas marcas de um mesmo fabricante e o outro dois fabricantes. Não há confirmação oficial sobre a identidade das empresas nem indicação de clientes em Portugal abrangidos.
Esta informação tem caráter noticioso e baseia-se nos relatórios técnicos publicados por Sam Curry e Shubham Shah. A parte da investigação relativa à consola de administração e à execução de código está detalhada no nosso artigo anterior.