Bezbednosni istraživači otkrili su niz slabosti u Android aplikacijama dva velika proizvođača automobila, koje su pod određenim uslovima omogućavale daljinsko slanje komandi povezanim vozilima. Preko pronađenih propusta bilo je moguće otključavati automobile, pokretati motor, aktivirati sirenu i paliti svetla.
Istraživanje su sproveli Šubam Šah iz kompanije Assetnote i bezbednosni istraživač Sem Kari. Oni su razvili odvojene puteve napada na sisteme koji su korišćeni u Australiji i SAD. Identitet proizvođača nije objavljen, na njihov zahtev.
U australijskoj verziji aplikacije, istraživači su najpre dolazili do identifikacionih brojeva vozila preko javno dostupnih servisa za proveru registarskih tablica. Zatim su, zahtevima upućenim internim programskim interfejsima, mogli da dobiju lične podatke i imejl adrese vlasnika.
Dodatni problem bili su administrativni podaci za pristup ugrađeni u aplikaciju. Oni su prvobitno bili namenjeni test-okruženju, ali su funkcionisali i u produkcionom sistemu. Nakon zaobilaženja zaštitnog veb-filtera propustom povezanim sa manipulacijom putanjama, istraživači su dobili pristup internim administrativnim interfejsima.
To im je omogućilo da preuzmu korisničke naloge korišćenjem imejl adrese, kreiraju tokene za prijavu i šalju komande vozilima preko mobilne aplikacije.
Put napada na američki sistem bio je složeniji, ali je ponovo uključivao zaobilaženje veb-filtera. Istraživači su iskoristili konfuziju u obradi putanja kako bi stigli do administrativne konzole Apache Felix. Uz fabrički postavljene podatke za prijavu dobili su administratorske privilegije, a zatim pristupili serverima sistema za upravljanje identitetima i korisničkim podacima.
Prema vremenskoj liniji objavljivanja, proizvođači su obavešteni početkom 2026. godine, a prijavljeni propusti popravljeni su u roku od dva sata. Na internetu su se pojavile pretpostavke da je jedno od vozila u demonstraciji Toyota, odnosno da je drugi proizvođač Lexus, ali to nije potvrđeno.