islami haberdini haberortadoğu haberleriislam coğrafyası
DOLAR
50,2292
EURO
56,1322
ALTIN
6.515,48
BIST
11.661,86
Adana Adıyaman Afyon Ağrı Aksaray Amasya Ankara Antalya Ardahan Artvin Aydın Balıkesir Bartın Batman Bayburt Bilecik Bingöl Bitlis Bolu Burdur Bursa Çanakkale Çankırı Çorum Denizli Diyarbakır Düzce Edirne Elazığ Erzincan Erzurum Eskişehir Gaziantep Giresun Gümüşhane Hakkari Hatay Iğdır Isparta İstanbul İzmir K.Maraş Karabük Karaman Kars Kastamonu Kayseri Kırıkkale Kırklareli Kırşehir Kilis Kocaeli Konya Kütahya Malatya Manisa Mardin Mersin Muğla Muş Nevşehir Niğde Ordu Osmaniye Rize Sakarya Samsun Siirt Sinop Sivas Şanlıurfa Şırnak Tekirdağ Tokat Trabzon Tunceli Uşak Van Yalova Yozgat Zonguldak
İstanbul
Parçalı Bulutlu
13°C
İstanbul
13°C
Parçalı Bulutlu
Çarşamba Çok Bulutlu
17°C
Perşembe Çok Bulutlu
20°C
Cuma Çok Bulutlu
20°C
Cumartesi Yağmurlu
19°C

Acceso remoto a vehículos de dos marcas con la contraseña «admin»

Investigadores abrieron las puertas y arrancaron los motores de vehículos de dos marcas en pruebas autorizadas. La vulnerabilidad probada en Estados Unidos se corrigió el mismo día en que se notificó.

Acceso remoto a vehículos de dos marcas con la contraseña «admin»
Noticias
Mirat Haber
11/11/2026 01:41
A+
A-

Los investigadores de ciberseguridad Shubham Shah y Sam Curry aprovecharon vulnerabilidades en la infraestructura de las aplicaciones móviles de dos marcas de automóviles para desbloquear y arrancar vehículos en pruebas autorizadas en Estados Unidos. Según una información de NTV basada en Anadolu Ajansı, las pruebas realizadas en febrero de 2026 revelaron que el panel de administración aceptaba «admin» como nombre de usuario y contraseña predeterminados. El acceso también permitía consultar la ubicación de los vehículos y utilizar las funciones de control remoto disponibles en la aplicación.

Principales hallazgos de la investigación

  • El inicio de sesión en las aplicaciones móviles de ambos fabricantes se realizaba a través de la infraestructura de gestión de identidades ForgeRock.
  • Los investigadores no revelaron los nombres de las marcas a petición de las empresas.
  • Las pruebas completas de ataque en Estados Unidos se realizaron únicamente en automóviles cuyos propietarios habían dado su consentimiento.
  • Ambos fabricantes corrigieron la vulnerabilidad probada en los vehículos el mismo día en que se notificó y renovaron las credenciales afectadas.

Acceso al panel protegido por el cortafuegos

Según el informe de los investigadores, un cortafuegos bloqueaba el acceso directo al panel de administración. Sin embargo, el cortafuegos y el servidor interpretaban de forma distinta una misma dirección web, lo que permitió sortear esa barrera. El panel al que accedieron aceptaba «admin» tanto como nombre de usuario como contraseña.

Las credenciales utilizadas correspondían al panel de administración de la infraestructura, no a la cuenta personal del propietario del vehículo. Tras acceder al servidor, los investigadores cambiaron el correo electrónico y la contraseña de la cuenta de prueba autorizada e iniciaron una nueva sesión en la aplicación móvil.

La guía de seguridad de Ping Identity, propietaria de la plataforma, recomienda eliminar este panel del sistema en producción o protegerlo cambiando las credenciales de acceso. La configuración descrita en el informe, examinada junto con esas recomendaciones de protección, sitúa la seguridad del panel de administración en el centro del incidente.

¿Qué cambió para los propietarios de los vehículos?

Durante la prueba autorizada, el cambio del correo electrónico y la contraseña de la cuenta no cerró la sesión que el propietario mantenía abierta en su teléfono. Al mismo tiempo, los investigadores pudieron acceder desde su nueva sesión a la ubicación del vehículo y a las funciones de control remoto de la aplicación. Esto demostró que era posible enviar órdenes desde otra sesión de la misma cuenta mientras la del propietario seguía activa.

Shah desbloqueó las puertas y arrancó el motor mientras el propietario se encontraba junto al automóvil. El resultado de la prueba no se limitó al acceso a los datos de la cuenta: también pudieron utilizarse las funciones de la aplicación que actuaban sobre el vehículo. La corrección aplicada tras la notificación incluyó el cierre de la vulnerabilidad probada en el automóvil y la renovación de las credenciales afectadas.

El hallazgo en Australia se basa en otra vía de acceso

En otro informe, Shah señaló que un sistema en Australia tenía credenciales de administrador creadas para un entorno de pruebas e incrustadas en un archivo JavaScript. Esas mismas credenciales también eran válidas en el sistema que prestaba servicio a los clientes. Mediante este método, los investigadores desbloquearon las puertas de un vehículo en una prueba autorizada.

Shah sostiene que ambos estudios, considerados en conjunto, demuestran que era posible enviar órdenes a distancia a vehículos conectados en Estados Unidos, Canadá y Australia. No obstante, el arranque del motor descrito en las pruebas de Estados Unidos y el desbloqueo de puertas probado en Australia figuran como hallazgos separados. Los informes públicos no indican cuándo se corrigió la vulnerabilidad en Australia ni si otras personas, además de los investigadores, utilizaron estos métodos.

¿Qué se ha revelado y qué sigue sin aclararse?

¿Qué marcas de automóviles están afectadas?

No se han revelado los nombres de las dos marcas. Los investigadores no compartieron esa información a petición de las empresas.

¿Se han corregido todas las vulnerabilidades?

Ambos fabricantes corrigieron la vulnerabilidad probada en vehículos en Estados Unidos el mismo día en que se notificó y renovaron las credenciales afectadas. Los informes públicos no indican cuándo se corrigió la otra vulnerabilidad detectada en Australia.

Yorumlar

Henüz yorum yapılmamış. İlk yorumu yukarıdaki form aracılığıyla siz yapabilirsiniz.