Volkswagen’in otomotiv yazılım şirketi Cariad, yaklaşık 800.000 elektrikli otomobilden toplanan verileri açıkladı. Bilgi, sürücülerin adlarıyla bağlantılı olabilir ve kesin araç konumlarını ortaya çıkarabilir.
Amazon bulut depolama alanındaki Volkswagen müşteri detaylarının terabaytları aylarca korunmasız kaldı ve çok az teknik bilgiye sahip herkesin sürücülerin hareketini izlemesine veya kişisel bilgileri toplamasına izin verdi.
Maruz kalan veritabanları, VW, koltuk, Audi ve Skoda araçları için ayrıntıları içerir ve bazıları için coğrafi konum verileri birkaç santimetre kadar hassastır.
Bir şirket temsilcisi BleepingComputer'a verdiği demeçte, Cariad’ın iki BT uygulamasındaki yanlış konfigürasyonu nedeniyle araç verilerine erişim mümkün oldu.
Cariad, 26 Kasım'da Avrupa'daki en büyük etik bilgisayar korsanları organizasyonu olan Chaos Computer Club (CCC) tarafından 30 yılı aşkın bir süredir güvenlik, gizlilik ve bilgiye ücretsiz erişimi teşvik eden bilgilendirildi.
Alman yayını Spiegel'e göre, CCC bir ihbarcıdan gelen kırılganlık hakkında bilgi edinin ve Cariad ve Volkswagen'i sorumlu ve teknik detaylar sağlamadan önce güvensiz erişimi test etti.
BleepingComputer'a yaptığı açıklamada, bir Cariad temsilcisi maruz kalan verilerin yalnızca İnternet'e bağlı araçları etkilediğini ve çevrimiçi hizmetlere kaydolduğunu söyledi.
Yaklaşık 800.000 araçtan, araştırmacılar 460.000 otomobil için coğrafi konum verileri buldular, bazıları için on santimetre doğrulukla.
Spiegel, 30'dan fazla araç Hamburg Polisi'nin devriye otomobil filosunun bir parçasıydı, diğerleri şüpheli istihbarat servisi çalışanlarına aitti.
Şirket, CCC bilgisayar korsanlarının verilere ancak önemli zaman ve teknik uzmanlık gerektiren birkaç güvenlik mekanizmasını atladıktan sonra erişebileceğini söyledi.
Ayrıca, bireysel araç verileri gizlilik amaçları için takma adlandırıldığından, bilgisayar korsanları ayrıntıları belirli bir kullanıcıyla ilişkilendirmek için farklı veri kümelerini birleştirmek zorunda kaldı.
Bununla birlikte, Spiegel, serbestçe kullanılabilir yazılım kullanarak iki Alman politikacının otomobillerinden toplanan Nadja Weippert ve Federal Markus Markus Grübel'in otomobillerinden toplanan yer ayrıntılarını bulan bir BT uzmanları ve gazeteciler ekibini bir araya getirdi.
Araçlar, hassas bilgiler içeren dosyalar içeren maruz kalan varlıkları aradı, bu da dahili bir Cariad uygulamasından bir bellek dökümünün bir kopyasını bulmaya yol açtı.
Hafızanın içinde hackerlar, Amazon'daki bir bulut depolama örneğine erişim anahtarlarını keşfetti, burada Cariad Volkswagen Grup müşterilerinin araçlarından toplanan verileri kaydetti.
Spiegel, elektrik motoru kapatıldığında bazı veri noktalarının otomobillerin boylam ve enlem konumuna atıfta bulunduğunu bildirdi.
"VW modelleri ve koltuklar durumunda, bu jeodata on santimetre içinde ve Audis ve Skodas'ın on kilometre içinde doğru idi ve bu nedenle daha az sorunluydu"- Spiegel
Etkilenen araçların çoğu, 300.000 kişi Almanya'daydı, ancak araştırmacılar ayrıca Norveç'teki (80.000), İsveç (68.000), Birleşik Krallık (63.000), Hollanda (61.000), Fransa (53.000), arabalar hakkında ayrıntılar buldular. Belçika (68.000) ve Danimarka (35.000).
Cariad, BleepingComputer'a güvenlik ekibinin sorunu çözmek için hızlı bir şekilde tepki verdiğini ve CCC'nin raporu gönderdiğini aynı gün kapalı erişimin.
CCC temsilcileri Spiegel için Cariad’ın “teknik ekibinin hızlı, kapsamlı ve sorumlu bir şekilde yanıt verdiğini” ve şirketin teknik detayları aldıktan birkaç saat içinde tepki verdiğini doğruladı.
Soruşturmasının sonuçlarına dayanarak, Cariad, CCC bilgisayar korsanları dışında diğer tarafların maruz kalan araç verilerine eriştiğini veya bilgilerin üçüncü bir taraf tarafından kötüye kullanıldığını gösteren hiçbir kanıtları yoktur.
Şirket ayrıca CCC'nin yalnızca araçlardan toplanan verilere erişebildiğini ve otomobillere erişemediğini vurgulamaktadır.
Cariad, Volkswagen Group markalarının müşterilerinin kişisel verilerin işlenmesini gerektiren ve seçeneği istediğiniz zaman devre dışı bırakabilecek ürün ve hizmetleri kullanmayı kabul edebileceğini söylüyor.
Bununla birlikte, şirket araçlardan toplanan verilerin müşterileri için “dijital işlevleri sağlanmasına, geliştirmesine ve geliştirmesine” yardımcı olduğunu ve ek avantajlar yarattığını belirtiyor.
"Bu veriler olmadan akıllı, dijital ve kişiselleştirilmiş işlevler sağlanamadı, optimize edilmiş veya genişletilmedi"- Cariad
Örnek olarak, şirket müşterilerin şarj davranışının ve alışkanlıklarının anonimleştirildiğini ve gelecekteki pil nesillerini ve şarj yazılımını optimize etmeye yardımcı olduğunu açıklıyor.
Aynı zamanda, toplanan veriler bulutta müşterinin kimliğini ve araçla hareketlerini koruyacak şekilde saklanır.
Cariad, “Volkswagen grubundaki markalar, kişisel verileri yalnızca yasal düzenlemeler ve mevcut bir sözleşme ilişkisi, meşru menfaatler veya müşteriden açık rızası içinde toparlar, depolar, iletir ve kullanırlar” diyor.
Otomotiv yazılım şirketi ayrıca, veri noktalarını ayrı ayrı saklama, kısıtlayıcı erişim hakları, takma adlandırma ve anonimleştirmenin yanı sıra verilerin belirtilen amaçlar dahilinde toplama ve işlenmesini içeren güçlü veri koruma uygulamaları kullandığını söylüyor.
Kaynak: Bleeping Computer