जीपीएस कार ट्रैकिंग ऐप्स को क्रैक करने वाले एक हैकर को पता चला है कि वह उन्हें दूर से रोक सकता है

"मैं दुनिया भर में गंभीर यातायात समस्याएं पैदा कर सकता हूं," उन्होंने कहा।

हैकर ने दो जीपीएस ट्रैकिंग एप्लिकेशन के उपयोगकर्ताओं के हजारों खातों को हैक कर लिया, जिससे वह हजारों कारों के दसियों स्थान को ट्रैक करने में सक्षम हो गया और यहां तक ​​कि उनमें से कुछ के इंजन को भी बंद कर दिया।

L & M नाम के एक हैकर ने मदरबोर्ड को बताया कि उसने 7,000 से अधिक iTrack खाते और 20,000 से अधिक ProTrack खातों को हैक कर लिया है, ऐसे अनुप्रयोग जो कंपनियां GPS का उपयोग करके अपने बेड़े को ट्रैक और प्रबंधित करने के लिए उपयोग करती हैं। हैकर दक्षिण अफ्रीका, मोरक्को, भारत और फिलीपींस सहित दुनिया भर के कई देशों में कारों को ट्रैक करने में सक्षम था। कुछ कारों में, सॉफ्टवेयर आपको इंजन को बंद करने की अनुमति देता है, जबकि कार को कुछ जीपीएस-ट्रैकिंग उपकरणों के निर्माता के आधार पर 20 किमी / घंटा से अधिक गति से नहीं चलना चाहिए।

Android ProTrack और iTrack, L & M के लिए रिवर्स इंजीनियरिंग अनुप्रयोगों के बाद, उन्होंने कहा, एहसास हुआ कि सभी ग्राहकों को पंजीकरण करते समय एक ही डिफ़ॉल्ट पासवर्ड प्राप्त होता है, 123456।

और फिर हैकर सरल ब्रूट बल द्वारा एप्लिकेशन एपीआई का उपयोग करके "लाखों उपयोगकर्ता नाम" खोजने में सक्षम था। फिर उन्होंने एक स्क्रिप्ट लिखी जो कि उपयोगकर्ता नाम और डिफ़ॉल्ट पासवर्ड का उपयोग करके खातों में लॉग इन करने की कोशिश करता है।

इसने उन्हें उन हजारों खातों को स्वचालित रूप से क्रैक करने की अनुमति दी जो डिफ़ॉल्ट पासवर्ड का उपयोग करते थे और उनसे डेटा निकालते थे।

उपयोगकर्ता डेटा के एक नमूने के अनुसार, जो एल एंड एम ने मदरबोर्ड के साथ साझा किया था, हैकर ने प्रोट्रैक और आईट्रैक ग्राहकों के बारे में जानकारी का खजाना इकट्ठा किया, जिसमें शामिल हैं: जीपीएस बीकन का नाम और मॉडल, अद्वितीय आईडी (आईएमईआई के रूप में जाना जाता है), उपयोगकर्ता नाम, उनके वास्तविक नाम, फोन नंबर। , ईमेल और घर के पते। एलएंडएम ने कहा कि यह प्रत्येक उपयोगकर्ता के लिए यह सभी जानकारी नहीं निकाल सकता है; कुछ के लिए, जानकारी केवल आंशिक रूप से प्राप्त की गई थी।

संपादक एलएंडएम नमूने के चार उपयोगकर्ताओं के साथ बात करके हैक की वास्तविकता की पुष्टि करने में सक्षम थे। साक्षात्कारकर्ताओं ने हैकर द्वारा प्रदान की गई जानकारी की सटीकता की पुष्टि की।

“मैंने कंपनी का उद्देश्य ग्राहकों पर नहीं, पर किया है। L & M संपादकों ने एक चैट में कहा कि कंपनी के कार्यों के कारण ग्राहकों को जोखिम है। "उन्हें पैसे कमाने की ज़रूरत है, और वे अपने ग्राहकों की सुरक्षा नहीं करना चाहते हैं।"


एक हैक किए गए उपयोगकर्ता खाते का उपयोग करके स्क्रीनशॉट

एलएंडएम ने यह भी कहा कि यह उपयोगकर्ताओं की मशीनों को ट्रैक करने की तुलना में बहुत अधिक कर सकता है। "मैं दुनिया भर में गंभीर यातायात समस्याएं पैदा कर सकता हूं," उन्होंने कहा। "मेरे पास सैकड़ों हजारों कारों पर पूरा नियंत्रण है, और एक स्पर्श से मैं उनके इंजनों को रोक सकता हूं।"

हालांकि, हैकर ने कहा कि उसने एक भी इंजन बंद नहीं किया है, क्योंकि यह बहुत खतरनाक होगा। और हालांकि हैकर ने इंजन को बंद करने की अपनी क्षमता को साबित नहीं किया, कुछ प्रोट्रैक जीपीएस और iTrack उपयोगकर्ताओं द्वारा उपयोग किए जाने वाले उपकरणों में से एक के निर्माता कॉनॉक्स के प्रतिनिधि ने संपादकों को पुष्टि की कि ग्राहक वास्तव में इंजन को बंद कर सकते हैं यदि कार 20 किमी / घंटा से धीमी यात्रा कर रही थी।

हैकर द्वारा प्रदान किए गए स्क्रीनशॉट के अनुसार एप्लिकेशन में "इंजन को रोकने" की क्षमता है।



प्रोट्रैक सिस्टम का उपयोग करने वाली दक्षिण अफ्रीकी कंपनी प्रोबोटिक सिस्टम्स के मालिक रहीम लकमैन ने संपादकीय कर्मचारियों से कहा कि अगर एक तकनीशियन जीपीएस बीकन को स्थापित करते समय इस सुविधा को चालू करता है तो प्रोट्रैक का इस्तेमाल इंजनों को रोकने के लिए किया जा सकता है। "और इससे स्थिति और भी खतरनाक हो जाती है," लकमैन ने डेटा लीक के बारे में कहा। "यह वास्तव में हमारे ग्राहकों और उपयोगकर्ताओं के लिए भ्रम पैदा कर सकता है।"

ProTrack शेन्ज़ेन, चीन से iTryBrand प्रौद्योगिकी द्वारा समर्थित है। iTrack गुआंगज़ौ, चीन से SEEWORLD द्वारा समर्थित है। दोनों कंपनियां ट्रैकिंग डिवाइस और क्लाउड सेवाओं को दोनों व्यक्तियों और सॉफ्टवेयर और डिवाइस वितरकों को बेचती हैं। एलएंडएम ने कहा कि इसने कुछ वितरकों के खातों को हैक कर लिया, जिससे इसे उपकरणों को ट्रैक करने और अपने उपयोगकर्ताओं के खातों को नियंत्रित करने की अनुमति मिली।

Google Play पर ऐप के पेज पर, iTrack उपयोगकर्ता नाम और पासवर्ड 123456 के साथ एक मुफ्त डेमो अकाउंट का विज्ञापन करता है। ProTrack उपयोगकर्ताओं को अपनी साइट पर एक मुफ्त डेमो प्रदान करता है। इस हफ्ते, जब संपादकीय कर्मचारियों ने डेमो की जाँच की, तो साइट ने पासवर्ड बदलने की आवश्यकता के बारे में चेतावनी जारी की, क्योंकि "डिफ़ॉल्ट पासवर्ड बहुत सरल है।" एक सप्ताह पहले यह संदेश अभी तक नहीं था। ProTrack एपीआई प्रलेखन भी 123456 का एक डिफ़ॉल्ट पासवर्ड निर्दिष्ट करता है।

दोनों अनुप्रयोगों के इंटरफेस को देखते हुए, वे एक ही मूल कोड का उपयोग करते हैं।

एलएंडएम ने कहा कि प्रोट्रैक ने इस सप्ताह ग्राहकों से ऐप और मेल के माध्यम से संपर्क किया, उनसे पासवर्ड बदलने के लिए कहा, लेकिन अभी तक ऐसा करने के लिए मजबूर नहीं किया गया है। ProTrack डेटा लीक होने से इनकार करता है, लेकिन पुष्टि करता है कि उसने उपयोगकर्ताओं को पासवर्ड बदलने की पेशकश की थी।

कंपनी के प्रवक्ता ने कहा, "हमारी प्रणाली बहुत अच्छी तरह से काम करती है, और पासवर्ड बदलना खाता सुरक्षा बनाए रखने का सामान्य तरीका है।" "इसके अलावा, आप हमारे ग्राहकों से संपर्क क्यों कर रहे हैं और उन्हें परेशान कर रहे हैं?" हैकर ने आपसे संपर्क क्यों किया? "

ITrack ने टिप्पणी के अनुरोध का कोई जवाब नहीं दिया।

एलएंडएम ने कहा कि उसने पारिश्रमिक पर निर्भर कंपनियों से संपर्क किया। स्क्रीनशॉट में जहां प्रोट्रैक का जवाब दिखाई दे रहा था, कंपनी के प्रतिनिधि ने हैकर को उन्हें "कम कीमत" देने के लिए कहा।

"अगर हम भुगतान करते हैं, तो क्या आप हमें अपना उपकरण देंगे और हमारे खाते को हैक नहीं करेंगे?" हम यह कैसे सुनिश्चित कर सकते हैं? क्षमा करें, बहुत सारे प्रश्न हैं, लेकिन यह पहली बार है जब हमने इस दुःस्वप्न का सामना किया है। "

हैकर ने कंपनी पर आगे टिप्पणी करने से इनकार कर दिया। लेकिन उन्होंने कहा कि उन्हें जो चाहिए था, वह मिला। “मेरे हमले ने उन्हें चेतावनी दी, और मैं इसे सफल मानता हूं। एलएंडएम ने कहा कि उन्हें सुरक्षा की चिंता करें। "अब वे जानते हैं कि उनके उपयोगकर्ता जोखिम में हैं और अपनी सेवा की सुरक्षा को थोड़ा सुधारने पर ध्यान केंद्रित कर रहे हैं।"