보안 연구원들은 169달러짜리 Flipper Zero 장치와 Wi-Fi 개발 보드를 사용하여 운전 자격증을 취득하고 Tesla Model 3에 침입하여 운전을 중단했습니다.
디지털 키는 전기 자동차(EV)를 잠금 해제하는 일반적이고 편리한 방법이 되었습니다. 하지만 보안 연구원들은 범죄자들이 어떻게 이것을 이용할 수 있는지 보여주었습니다.
기술 회사 Mysk에서 일하는 사이버 보안 연구원 Tommy Mysk와 Talal Haj Bakry는 사이버 범죄자들이 피해자의 차의 잠금을 해제하고 운전하여 떠나기 전에 “디지털 키”를 생성하기 위해 Tesla 계정에 액세스할 수 있는 악용을 발견했습니다. 그들은 3월 7일 YouTube 프레젠테이션에서 그들의 발견을 자세히 설명했습니다.
그들은 계정이 이중 인증(2FA)으로 보호됨에도 불구하고 테슬라 모델 3의 문을 여는 해킹을 달성했습니다. 이것은 로그인하기 전에 코드를 요청하는 추가적인 보호 계층으로, 그들은 그것을 우회했습니다.
그들은 단지 소형 Flipper Zero 장치와 Wi-Fi 개발 보드가 필요했습니다. 이 두 가지는 모두 온라인에서 구입할 수 있습니다.
단돈 169달러인 플리퍼 제로 기기는 보안 연구원들에게 “스위스 군용 칼”과 유사합니다. 그것은 무선 주파수 및 근거리 무선 통신 (NFC) 태그, 무선 리모콘, 디지털 액세스 키 및 기타 신호를 읽고, 복사하고, 모방하도록 합니다. 비록 캐나다가 그것을 금지하는 조치를 내놓았지만, 그것은 미국에서 합법입니다.
연구원들은 와이파이 개발 보드와 함께 플리퍼 제로를 사용하여 가짜 테슬라 로그인 페이지를 생성하고 방송한 후 피해자를 속여서 로그인 자격 증명을 공유했습니다.
해킹은 어떻게 작동합니까?
연구원들은 Tesla 서비스 센터에서 사용되는 것과 마찬가지로 “Tesla Guest”라는 이름의 공공 와이파이 네트워크를 통해 이 착취를 수행했습니다.
그들은 플리퍼 제로를 통해 이 네트워크의 가짜 버전을 방송했는데, 이는 누군가 와이파이에 접속하기 위해 캡처된 네트워크를 클릭하면 스푸핑된 테슬라 로그인 화면이 나타날 것이라는 것을 의미합니다. 이 가짜 와이파이 네트워크를 테슬라 슈퍼차저와 같은 테슬라 운전자들이 자주 방문하는 장소에서 방송하면 사이버 범죄자들이 테슬라 계정의 로그인 정보를 훔칠 수 있습니다.
만약 현실 세계에서 악용된다면, 해커는 의심하지 않는 테슬라 운전자가 가짜 와이파이 네트워크에 연결하고 스푸핑된 로그인 포털에 로그인 정보를 입력하기만 기다리면 됩니다. 그런 다음 이메일 주소, 비밀번호 및 2FA 코드를 포함한 사용자의 자격 증명이 플리퍼 제로의 화면에 나타납니다. 그런 다음 이 정보를 얻은 후 해커는 테슬라 앱을 실행하고 피해자의 계정에 액세스할 수 있습니다.
관련: 실험적인 무선 전기차 충전기는 초고속 유선 플러그만큼 빠르다고 과학자들은 말합니다
그 앱은 해커가 휴대폰에 있는 디지털 키를 사전에 활성화할 필요 없이 자동차의 실시간 위치를 제공합니다. 피해자의 차 근처에서 키를 활성화함으로써 해커는 원격으로 그것을 제어할 수 있습니다. 놀랍게도, 여러분은 차에 있지 않고 블루투스를 활성화하고 위치 설정을 활성화하기만 하면 됩니다.
사용자의 앱이나 자동차 내장 터치스크린에 새 장치가 계정에 추가되었다는 알림이 표시되지 않기 때문에 누군가가 계정을 손상시키고 자동차를 제어하려고 한다는 것을 알 수 없습니다.
이 착취를 보여주면서, 연구원은 성공적으로 테슬라 모델 3의 문을 열었고 터치 스크린에 나타나는 알림 없이 디지털 키를 추가하는 방법을 보여주었습니다. 그들은 차를 시동하고 운전하여 떠날 수 있었습니다.
연구원들은 디지털 키 제거를 인증하기 위해 (모든 테슬라 운전자들에게 제공되는) 실제 키 카드가 필요하고 키가 제거된 후에 자동차 소유자에게 푸시 알림이 전송된다는 것을 알고 놀랐습니다. 새로운 키가 추가될 때 그러한 알림이 전송되지 않는다는 사실에도 불구하고 말입니다.
EV 안전에 어떤 의미가 있습니까?
디지털 키를 추가하고 제거하기 위해 물리적 키 카드가 필요하다는 테슬라 소유자의 설명서에도 불구하고, 연구원들은 이것이 디지털 키를 추가하지 않고 제거하기 위한 경우일 뿐이라는 것을 증명했습니다. Mysk 팀은 그들의 연구 결과를 Tesla Product Security에 보고했고, 그들은 이것을 “의도된 행동”이라고 불렀습니다
“우리는 사회공학과 피싱이 어떻게 효과적일 수 있는지 보여주었습니다,” 라고 연구원들이 발표에서 썼습니다. “그것은 심지어 다양한 요소의 인증을 물리쳤습니다.”
보안 연구원들은 키 카드 인증을 의무화해야 하며, 테슬라 소유자들은 계정에 새로운 키가 추가되면 알림을 받아야 한다고 보고 있습니다.
사이버 보안 회사인 ESET의 글로벌 보안 고문인 제이크 무어는 라이브 사이언스와의 인터뷰에서 플립퍼 제로와 같이 쉽게 접근할 수 있는 기기들이 “악의적인 활동을 하는 위협 행위자들을 돕기 위해 엄청난 양을 할 수 있다”고 말했습니다
그는 “해커 툴킷에서 다른 사회공학적 기법과 함께 또 다른 도구로 작용하는 이 장치들은 피해자들이 알아야 할 새로운 차원을 추가한다”고 설명했습니다.
“시장에 나와 있는 끝없는 스마트 기기와 이전에는 사용을 정당화한 적이 없었던 기기에 내장된 무선 기술로 인해 우리는 그 어느 때보다 경계해야 합니다.”