CERT-In descobre vulnerabilidades em aplicativos da Tata Motors iRA que permitem roubo de dados e falsificação de usuários

A equipe indiana de resposta a emergências cibernéticas (CERT-In) identificou uma série de problemas de segurança em certas versões dos aplicativos para veículos conectados Tata Motors iRA 2.0 e iRA.ev.

Essas vulnerabilidades podem potencialmente permitir que invasores extraiam credenciais confidenciais, acessem informações e serviços relacionados ao veículo, se passem por usuários e alterem dados do aplicativo sem a devida autorização.

Em um alerta de vulnerabilidade emitido na terça-feira, o CERT-In classificou essas falhas como de severidade 'Alta'. As versões afetadas incluem Tata Motors iRA 2.0 versão 26.7.3 e anteriores, bem como iRA.ev versão 26.7.2 e anteriores.

O CERT-In recomenda enfaticamente que os usuários atualizem os aplicativos afetados para as versões iRA 2.0 versão 26.8.2 e iRA.ev versão 26.9.1 para corrigir os problemas identificados.

Quatro vulnerabilidades descobertas nos aplicativos

Especialistas do CERT-In identificaram quatro tipos de vulnerabilidades relacionadas ao armazenamento de credenciais, verificação de conteúdo web, processamento de tokens de autenticação e segurança da comunicação entre os aplicativos e os serviços de servidor.

A primeira vulnerabilidade está relacionada a credenciais codificadas embutidas nos aplicativos. O CERT-In explicou isso como 'presença de credenciais de conta de serviço codificadas, chaves de API e tokens de autorização dentro do pacote do aplicativo'. Um invasor remoto sem autenticação pode baixar o pacote do aplicativo e extrair essas informações para acessar os serviços de servidor correspondentes, o que pode levar à divulgação de informações confidenciais ou à execução de operações não autorizadas.

O segundo problema diz respeito à verificação insuficiente de URLs e fontes carregadas através do componente WebView nos aplicativos. A causa foi determinada como 'verificação insuficiente de URLs e fontes carregadas dentro do componente WebView'. Um invasor pode enviar conteúdo web malicioso para o WebView afetado, potencialmente obter tokens de autenticação ativos e se passar por usuários para acessar dados e serviços relacionados ao veículo.

A terceira vulnerabilidade está relacionada ao fato de que os tokens de autenticação são gravados nos logs do aplicativo usados para desenvolvimento e depuração. O CERT-In indicou que a causa é 'registro de tokens de autenticação nos logs do aplicativo usados para desenvolvimento e depuração'. Um invasor local com acesso a esses logs pode extrair e usar os tokens de sessão expostos para falsificar usuários e obter acesso não autorizado a informações e serviços relacionados ao veículo.

A quarta vulnerabilidade refere-se às configurações de segurança de rede nos aplicativos, relativas ao pinning de certificados SSL. O CERT-In observou 'implementação incorreta do pinning de certificado SSL na configuração de segurança de rede'. Isso pode permitir que um invasor que esteja em posição de interceptar o tráfego de rede intercepte ou modifique a comunicação entre os aplicativos e seus serviços de servidor.

Os aplicativos fornecem acesso aos recursos do veículo conectado

Os aplicativos iRA 2.0 e iRA.ev são destinados a clientes de motores de combustão interna (ICE) e veículos elétricos, respectivamente. Esses aplicativos fornecem acesso a serviços de veículo conectado, incluindo comandos remotos para o veículo, estado do veículo, monitoramento de saúde e informações de viagem. A avaliação do CERT-In alerta que a exploração bem-sucedida dessas vulnerabilidades pode permitir que invasores acessem e alterem dados usando privilégios de usuário falsificado.

Histórias semelhantes

Agência Governamental Alerta Sobre Ameaça de Hackeamento em Carros TATA

A equipe indiana de resposta a emergências cibernéticas (CERT-In) emitiu um alerta sobre os veículos TATA. Este aviso diz respeito aos veículos da Tata Motors associados ao aplicativo de veículos conectados.

Uma vulnerabilidade foi descoberta nos aplicativos de veículos conectados iRA 2.0 e iRA.ev. Usando essa vulnerabilidade, hackers podem acessar facilmente um carro TATA.

A agência governamental emitiu um alerta de segurança de alto nível sobre este assunto. A agência afirma que, explorando essa vulnerabilidade, invasores podem obter acesso às credenciais necessárias, bem como a todas as informações e serviços relacionados ao veículo.

Como validar identidades digitalmente sem dificultar a experiência do usuário

A segurança digital deve ser adaptável às circunstâncias específicas de cada acesso. Entrar em uma conta utilizando um celular de uso diário difere significativamente de executar uma transação delicada a partir de um dispositivo nunca antes visto.

Por essa razão, as corporações precisam encontrar um equilíbrio entre a verificação da identidade e a manutenção de uma experiência digital fluida, evitando que cada interação se torne uma série de obstáculos.

Além de determinar quem está realizando o acesso, é possível analisar dados relacionados ao equipamento, ao padrão de comportamento e ao ambiente da operação. A inteligência de dispositivo, por exemplo, auxilia na identificação das características do aparelho, seu histórico de utilização e quaisquer indicadores que possam sugerir condutas suspeitas.

Ao cruzar esses dados com informações biométricas e de identidade, torna-se possível fazer uma avaliação mais completa da situação, sem que um único sinal seja suficiente para definir, isoladamente, se a interação é fraudulenta.

Uma alteração significativa no contexto pode justificar a inclusão de uma fase extra de autenticação. Exemplos disso incluem a troca de aparelho, a manifestação de um comportamento distinto do usual ou a execução de uma operação de maior sensibilidade.

O princípio adotado é aplicar controles mais rigorosos somente quando o risco assim o exigir, em vez de impor o mesmo procedimento em todas as interações realizadas.