Kerentanan zero-day yang ditemukan mengancam keamanan sistem mobil terhubung global

(NLDO) - Kaspersky mengumumkan penemuan kerentanan keamanan serius yang dapat memungkinkan peretas mengambil alih kendali semua mobil milik produsen dari jarak jauh.

Pengumuman ini baru saja disampaikan di konferensi Security Analyst Summit 2025, yaitu kerentanan zero-day dalam aplikasi publik kontraktor mitra, yang membuka jalan bagi akses tidak sah ke sistem telematika—otak yang mengendalikan dan mengumpulkan data dari mobil. Dalam skenario serangan nyata, penjahat siber dapat memaksa mobil untuk berpindah gigi, mematikan mesin saat melaju, yang secara langsung mengancam keselamatan pengemudi dan penumpang.

Kaspersky menemukan kerentanan keamanan serius yang mengancam keselamatan kendaraan

Menurut Kaspersky, penilaian keamanan dilakukan dari jarak jauh, dengan fokus pada layanan publik produsen dan kontraktor. Para ahli menemukan beberapa port akses yang terekspos ke internet dan kerentanan injeksi SQL dalam aplikasi wiki, yang memungkinkan mereka mengekstrak data pengguna dan kata sandi terenkripsi. Sebagian kata sandi ini didekripsi, sehingga mendapatkan akses ke sistem pelacakan insiden yang berisi informasi konfigurasi sensitif infrastruktur telematika, termasuk berkas yang berisi kata sandi hash pengguna server.

Pada sisi sistem mobil yang terhubung, tim menemukan firewall yang salah konfigurasi, sehingga mengekspos server internal.

Dengan menggunakan kredensial yang diperoleh, mereka mengakses sistem berkas dan bahkan dapat mengirim perintah pembaruan firmware yang dimodifikasi ke pengendali telematika (TCU).

Tindakan ini memungkinkan akses ke jaringan area lokal (CAN) – yang mengoordinasikan mesin, transmisi, dan sensor, yang berarti banyak fungsi kendaraan penting dapat dikontrol.

"Kerentanan ini bermula dari kesalahan umum seperti menggunakan kata sandi yang lemah, kurangnya autentikasi dua faktor, dan tidak mengenkripsi data sensitif. Satu titik lemah saja dalam rantai pasokan dapat membahayakan seluruh sistem mobil pintar," ujar Artem Zinenko, Kepala Riset dan Penilaian Keamanan ICS CERT di Kaspersky.

Kaspersky mengimbau para produsen mobil untuk memperkuat kontrol keamanan siber, terutama dengan infrastruktur mitra pihak ketiga, guna memastikan keselamatan pengguna dan menjaga kepercayaan pada teknologi mobil yang terhubung.

Rekomendasi Kaspersky kepada kontraktor dan mitra teknologi di sektor otomotif:

• Batasi akses internet ke layanan web melalui VPN, pisahkan layanan dari intranet perusahaan
• Layanan web terpisah, sehingga tidak terkait dengan intranet perusahaan
• Terapkan kebijakan kata sandi yang ketat
• Aktifkan autentikasi dua faktor (2FA)
• Enkripsi data sensitif
• Integrasikan sistem pencatatan dengan platform SIEM untuk memantau dan mendeteksi insiden secara real-time. (SIEM - Security Information and Event Management adalah sistem manajemen informasi dan peristiwa keamanan yang membantu mendeteksi perilaku abnormal atau serangan siber sejak dini)

Untuk produsen mobil, Kaspersky menyarankan untuk membatasi akses ke platform telematika (sistem yang mengumpulkan dan memproses data kendaraan) dari jaringan kendaraan, hanya mengizinkan koneksi jaringan yang masuk daftar putih, menonaktifkan login kata sandi SSH, mengoperasikan layanan dengan izin minimum yang diperlukan, memastikan keaslian perintah kontrol yang dikirim ke TCU (unit kontrol telematika pada kendaraan), dan mengintegrasikan platform SIEM.

Sumber: https://nld.com.vn/phat-hien-lo-hong-zero-day-de-doa-an-toan-he-thong-o-to-ket-noi-toan-cau-196251113092524751.htm