เว็บไซต์ bleepingcomputer รายงานเมื่อ 7 มี.ค.67 ว่า นักวิจัยด้านความปลอดภัยที่ใช้บัญชีทวิตเตอร์ หรือ X ที่ชื่อว่า Talal และ Tommy Mysk สาธิตวิธีที่พวกเขาสามารถดำเนินการโจมตีแบบฟิชชิ่ง Man-in-the-Middle (MiTM) เพื่อเข้าสู่ระบบบัญชี Tesla, ปลดล็อครถยนต์ และสตาร์ทรถได้ การโจมตีนี้ใช้ได้กับแอป Tesla ล่าสุด เวอร์ชัน 4.30.6 และซอฟต์แวร์ Tesla เวอร์ชัน 11.1 2024.2.7
นักวิจัยรายงานการค้นพบช่องโหว่ต่อ Tesla โดยกล่าวว่า การเชื่อมโยงรถยนต์เข้ากับโทรศัพท์เครื่องใหม่ขาดการรักษาความปลอดภัยในการตรวจสอบสิทธิ์ที่เหมาะสม และได้ทำรายงานช่องโหว่ส่งไปให้ทางบริษัท Tesla แล้ว ทั้งนี้ในขณะที่นักวิจัยลองทำการโจมตีแบบฟิชชิ่งโดยใช้ Flipper Zero ก็สามารถทำได้ง่ายด้วยอุปกรณ์อื่นๆ เช่น คอมพิวเตอร์ Raspberry Pi หรือโทรศัพท์ Android
โดยปกติสถานีซุปเปอร์ชาร์จเจอร์ของ Tesla ที่เปิดให้ใช้งานเครือข่าย WiFi ที่เรียกว่า “Tesla Guest สำหรับลูกค้าที่มาใช้บริการในศูนย์บริการของ Tesla นักวิจัยใช้เครื่องมือ Flipper Zero / Raspberry Pi หรืออุปกรณ์อื่นๆ ที่มาพร้อมกับความสามารถ WiFi hotspot สำหรับสร้างเครือข่าย WiFi ปลอม (ซึ่งเลียนแบบชื่อว่า Tesla Guest) เมื่อเหยื่อเชื่อมต่อกับเครือข่ายปลอม หน้าจอระบบก็จะถูกเปลี่ยนไปเป็นหน้าตาเข้าสู่ระบบ Tesla ปลอมเพื่อขอให้เข้าสู่ระบบโดยใช้ข้อมูลประจำตัวบัญชี Tesla ของตน หลังจากป้อนข้อมูลบัญชี Tesla แล้ว หน้าเว็บไซต์ปลอม จะขอรหัสผ่านแบบใช้ครั้งเดียวสำหรับบัญชี (OTP) เพื่อช่วยให้ผู้โจมตีข้ามการป้องกันการตรวจสอบสิทธิ์แบบสองปัจจัยได้ ดังนั้นผู้โจมตีจะดักรับข้อมูลเหยื่อได้ทั้งบัญชี Tesla และรหัส OTP ถ้าผู้โจมตีเข้าสู่แอปพลิเคชันเหยื่อ ก็จะสามารถติดตามตำแหน่งของยานพาหนะได้แบบเรียลไทม์
นอกจากนี้ การเข้าถึงบัญชี Tesla ของเหยื่อทำให้ผู้โจมตีสามารถเพิ่ม ‘รหัสโทรศัพท์’ ใหม่ได้ สำหรับสิ่งนี้จะต้องอยู่ใกล้กับรถซึ่งอยู่ห่างออกไปเพียงไม่กี่เมตร
Phone Keys ใช้แอปพลิเคชันมือถือของ Tesla ร่วมกับสมาร์ทโฟนของเจ้าของรถเพื่อให้สามารถล็อคและปลดล็อครถยนต์ได้โดยอัตโนมัติผ่านการเชื่อมต่อ Bluetooth ที่ปลอดภัย Mysk กล่าวว่าการเพิ่ม Phone Keys ใหม่ผ่านแอป ไม่จำเป็นต้องปลดล็อครถหรือสมาร์ทโฟนต้องอยู่ภายในรถ ซึ่งทำให้ช่องว่างด้านความปลอดภัยมีนัยสำคัญ ที่ยิ่งกว่านั้นคือเมื่อมีการเพิ่ม Phone Keys ใหม่ เจ้าของ Tesla จะไม่ได้รับการแจ้งเตือนเกี่ยวกับการเปลี่ยนแปลงผ่านแอป และไม่มีการแจ้งเตือนปรากฏบนหน้าจอสัมผัสของรถ ทำให้ผู้โจมตีสามารถปลดล็อครถและเปิดใช้งานระบบทั้งหมดได้ ราวกับเป็นเจ้าของ
BleepingComputer ได้ติดต่อกับ Tesla เพื่อถามคำถามข้างต้น เกี่ยวกับมาตรการรักษาความปลอดภัยเพื่อป้องกันการโจมตีเหล่านี้หรือไม่ แต่ Tesla ยังไม่ได้ออกมาตอบคำถามใด ๆ
