وقال: "يمكنني خلق مشاكل مرورية خطيرة في جميع أنحاء العالم".
اخترق المتسلل آلاف الحسابات المملوكة لمستخدمي تطبيقين لتتبع GPS ، مما مكنه من تتبع موقع عشرات الآلاف من السيارات وحتى إيقاف تشغيل محركات بعضها أثناء التنقل.
قال قراصنة يدعى L&M لـ Motherboard إنه اخترق أكثر من 7000 حساب
iTrack وأكثر من 20.000 حساب
ProTrack ، وهي تطبيقات تستخدمها الشركات لتتبع أساطيلها وإدارتها باستخدام GPS. تمكن القراصنة من تعقب السيارات في العديد من البلدان حول العالم ، بما في ذلك جنوب إفريقيا والمغرب والهند والفلبين. في بعض السيارات ، يسمح لك البرنامج بإيقاف تشغيل المحركات عن بُعد ، بينما يجب أن تقف السيارة أو تتحرك بسرعة لا تزيد عن 20 كم / ساعة ، اعتمادًا على الشركة المصنعة لأجهزة تتبع GPS معينة.
بعد تطبيقات الهندسة العكسية لنظامي Android ProTrack و iTrack ، أدرك L&M أن جميع العملاء يتلقون نفس كلمات المرور الافتراضية أثناء التسجيل ، 123456.
ثم تمكن المتسلل من العثور على "ملايين أسماء المستخدمين" باستخدام واجهات برمجة التطبيقات الخاصة بالتطبيق عن طريق القوة الغاشمة البسيطة. ثم كتب نصًا يحاول تسجيل الدخول إلى الحسابات باستخدام أسماء المستخدمين وكلمات المرور الافتراضية التي تم العثور عليها.
سمح له هذا تلقائيًا بتقسيم آلاف الحسابات التي تستخدم كلمة المرور الافتراضية واستخراج البيانات منها.
وفقًا لعينة من بيانات المستخدم التي شاركتها L&M مع Motherboard ، جمع المتسلل ثروة من المعلومات حول عملاء ProTrack و iTrack ، بما في ذلك: اسم وطراز منارة GPS ، ومعرفات فريدة (المعروفة باسم IMEIs) ، وأسماء المستخدمين ، وأسماءهم الحقيقية ، وأرقام هواتفهم ورسائل البريد الإلكتروني وعناوين المنزل. قالت L&M إنها لا تستطيع استخراج كل هذه المعلومات لكل مستخدم ؛ بالنسبة للبعض ، تم تلقي المعلومات جزئيًا فقط.
تمكن المحررون من تأكيد حقيقة الاختراق من خلال التحدث مع أربعة مستخدمين من عينة L&M. أكد الأشخاص الذين أجريت معهم مقابلات دقة المعلومات المقدمة من قراصنة الكمبيوتر.
"لقد استهدفت الشركة وليس العملاء. قال محرري L&M في دردشة إن العملاء معرضون للخطر بسبب تصرفات الشركة. "إنهم بحاجة إلى كسب المال ، ولا يريدون حماية عملائهم".
لقطة شاشة باستخدام حساب مستخدم تم اختراقهكما صرحت L&M بأنها يمكنها أن تفعل أكثر بكثير من مجرد تتبع أجهزة المستخدمين. وقال: "يمكنني خلق مشاكل مرورية خطيرة في جميع أنحاء العالم". "لدي سيطرة كاملة على مئات الآلاف من السيارات ، بلمسة واحدة يمكنني إيقاف محركاتها."
ومع ذلك ، قال القراصنة إنه لم يغلق محركًا واحدًا ، لأن ذلك سيكون خطيرًا جدًا. وعلى الرغم من أن المتسلل لم يثبت قدرته على إيقاف تشغيل المحرك ، فقد أكد ممثل لشركة Concox ، وهي إحدى الشركات المصنعة
لأحد الأجهزة التي يستخدمها بعض مستخدمي ProTrack GPS و iTrack ، للمحررين أن العملاء يمكنهم بالفعل إيقاف تشغيل المحركات عن بُعد إذا كانت السيارة تسير بسرعة أقل من 20 كم / ساعة.
التطبيق لديه القدرة على "إيقاف المحرك" ، وفقا للشاشة المقدمة من قبل القراصنة.
أخبر Rahim Luckman ، مالك Probotik Systems ، وهي شركة جنوب أفريقية تستخدم ProTrack ، طاقم التحرير أنه يمكن استخدام ProTrack لإيقاف المحركات إذا قام فني بتشغيل هذه الميزة عند تثبيت منارة GPS. "وهذا يجعل الموقف أكثر خطورة" ، قال لكمان عن تسرب البيانات. "إنه حقًا يمكن أن يحدث ارتباكًا لعملائنا ومستخدمينا."
ProTrack مدعوم بتقنية iTryBrand من Shenzhen ، الصين. يدعم iTrack SEEWORLD من قوانغتشو ، الصين. تبيع الشركتان أجهزة التتبع والخدمات السحابية لكل من الأفراد وموزعي البرامج والأجهزة. قالت L&M إنها اخترقت حسابات بعض الموزعين ، مما سمح لها بتتبع الأجهزة والتحكم في حسابات مستخدميها.
في
صفحة التطبيق على Google Play ، تعلن iTrack عن حساب تجريبي مجاني باسم المستخدم التجريبي وكلمة المرور 123456. يوفر ProTrack للمستخدمين عرضًا تجريبيًا مجانيًا
على موقعهم . هذا الأسبوع ، عندما قام موظفو التحرير بفحص العرض التوضيحي ، أصدر الموقع تحذيرًا بشأن الحاجة إلى تغيير كلمة المرور ، لأن "كلمة المرور الافتراضية بسيطة للغاية". قبل أسبوع ، لم تكن هذه الرسالة بعد. تحدد
وثائق ProTrack API أيضًا كلمة مرور افتراضية قدرها 123456.
اذا حكمنا من خلال واجهة كلا التطبيقين ، فإنها تستخدم نفس الكود الأساسي.
قالت L&M إن ProTrack اتصلت هذا الأسبوع بالعملاء من خلال التطبيق والبريد ، وطلب منهم تغيير كلمات المرور ، لكن حتى الآن لم يجبروا على ذلك. يرفض ProTrack تسرب البيانات ، لكنه يؤكد أنه عرض على المستخدمين تغيير كلمات المرور.
وقال متحدث باسم الشركة: "نظامنا يعمل بشكل جيد للغاية ، وتغيير كلمة المرور هو الطريقة المعتادة للحفاظ على أمان الحساب". "علاوة على ذلك ، لماذا تتصل بعملائنا وتزعجهم؟" لماذا اتصل بك القراصنة؟
لم يستجب ITrack لطلب التعليق.
وقالت L&M إنها اتصلت بالشركات التي تعتمد على المكافآت. في لقطة الشاشة حيث كانت إجابة ProTrack مرئية ، طلب ممثل الشركة من المتسلل أن يعينهم "سعرًا منخفضًا".
"إذا دفعنا ، هل ستعطينا أداتك ولن نخرق حسابنا بعد الآن؟" كيف يمكننا أن نكون متأكدين من هذا؟ آسف ، هناك الكثير من الأسئلة ، لكن هذه هي المرة الأولى التي نواجه فيها هذا الكابوس. "
ورفض القراصنة التعليق أكثر على الشركة. لكنه قال إنه حصل على ما يريد. "لقد حذرهم هجومي ، وأنا أعتبر هذا نجاحًا. اجعلهم قلقين بشأن الأمن. "أصبحوا يعلمون الآن أن مستخدميهم معرضون للخطر ويركزون على تحسين أمن خدمتهم بشكل طفيف".