باحثون يكشفون عن ثغرة خطيرة تسمح بالتحكم بسيارات عن بعد عبر الهاتف

كشفت ثغرات أمنية في تطبيقات أندرويد تابعة لشركتين عالميتين لصناعة السيارات عن إمكانية السيطرة عن بُعد على مركبات متصلة، بما في ذلك فتح الأبواب وتشغيل المحركات وإضاءة المصابيح الأمامية وإطلاق الأبواق، وفقًا لبحث أجراه متخصصان في الأمن السيبراني. ونجح الباحثان شوبهام شاه، المؤسس المشارك لشركة أسيت نوت، وسام كاري، في تطوير مسارات اختراق استهدفت أنظمة السيارات في أستراليا والولايات المتحدة، مستفيدين من ثغرات في منصة إدارة الهوية ForgeRock، التي اعتمدت عليها الشركتان في تشغيل تطبيقاتهما وخدماتهما المتصلة بالمركبات.

ونشر الباحثان تفاصيل منفصلة عن الهجمات، أوضحا فيها كيف مكّنهما التلاعب بتطبيقات أندرويد وتجاوز أنظمة الحماية من الوصول إلى واجهات برمجة التطبيقات الداخلية، ثم التحكم في حسابات مالكي السيارات وإصدار أوامر مباشرة إلى مركباتهم.

اختراق السيارات الأسترالية عبر أرقام اللوحات

في الهجوم الذي استهدف النسخة الأسترالية من التطبيق، بدأ الباحثون بالحصول على أرقام تعريف المركبات (VIN)، مستعينين بأدوات عامة لفحص لوحات تسجيل السيارات. واستخدموا هذه الأرقام في إرسال استعلامات إلى واجهات برمجة التطبيقات الداخلية، ما أتاح لهم الوصول إلى معلومات شخصية وعناوين البريد الإلكتروني لمالكي المركبات. وبحسب تفاصيل البحث، عثر الباحثان كذلك على بيانات اعتماد إدارية مضمّنة في برنامج ForgeRock OpenIDM، كانت مخصصة لبيئة الاختبار، لكنها ظلت صالحة للاستخدام في بيئة الإنتاج الفعلية. وبعد تجاوز نظام جدار حماية تطبيقات الويب (WAF)، عبر استغلال ثغرات في مسارات الوصول، تمكنا من استدعاء واجهات برمجة التطبيقات الإدارية الداخلية والسيطرة على حسابات مستهدفة بالاعتماد على عناوين البريد الإلكتروني لأصحابها. وأتاح ذلك إنشاء رموز مصادقة يمكن استخدامها لإرسال أوامر عن بُعد إلى السيارات المتأثرة، عبر تطبيق الهاتف المحمول، بما في ذلك تشغيل المحرك والتحكم في بعض وظائف المركبة.

مسار أكثر تعقيدًا لاختراق السيارات الأمريكية

أما الهجوم على النسخة الأمريكية، فتطلب تجاوز نظام جدار حماية تطبيقات الويب باستخدام أسلوب أكثر تعقيدًا، اعتمد على استغلال ارتباك في معالجة مسارات الوصول للوصول إلى وحدة تحكم إدارة Apache Felix. واستغل الباحثان بيانات اعتماد المصنع الافتراضية في وحدة تحكم الويب الخاصة بمنصة OSGi Felix للحصول على صلاحيات المسؤول، قبل استخدام مدير التكوين لجدولة مهمة تنفذ نصًا برمجيًا مضمنًا بلغة Groovy. ومكّنهما ذلك من الوصول إلى خوادم إدارة الهوية عبر سطر الأوامر، ثم الاستعلام عن نقاط النهاية المحلية لواجهات برمجة التطبيقات الإدارية، بما أتاح عرض بيانات حسابات المستخدمين وتعديلها. ومن خلال هذه الصلاحيات، تمكّن الباحثان من تسجيل الدخول إلى حسابات مالكي السيارات والوصول إلى إمكانات التحكم عن بُعد نفسها التي توصلا إليها في الهجوم الأسترالي. وأوضح شاه أن اختراق البيئة الأمريكية تطلب جهدًا أكبر، لأن الشركة المصنعة أمضت وقتًا أطول في تأمين بيئات OpenIDM المستخدمة في الولايات المتحدة وكندا وأوروبا.

إصلاح الثغرات خلال ساعتين.. والشركتان ترفضان الكشف عن هويتهما

وبحسب الجدول الزمني الذي نشره كاري، تواصل الباحثان مع شركتي صناعة السيارات المتضررتين في أوائل عام 2026، وأُصلحت الثغرات الأمنية خلال ساعتين من تلقي البلاغ. ولم يكشف الباحثان عن اسمي الشركتين، رغم تكهنات انتشرت بين المهتمين بالسيارات والأمن السيبراني بشأن هويتهما. ورجّح بعض المتابعين أن تكون إحدى السيارتين الظاهرتين في مقطع توضيحي نشره شاه من إنتاج تويوتا، مستندين إلى شكل مرآة السيارة الجانبية وصوت فتح الأقفال. كما ذهبت تكهنات أخرى إلى أن الشركتين المعنيتين هما تويوتا وعلامتها التجارية الفاخرة لكزس. لكن هذه الترجيحات لم تتأكد؛ إذ لم يؤكد متحدث باسم شركة تويوتا موتور صحة تلك المزاعم أو ينفها عندما سُئل عنها. وقال كاري إن الباحثين قررا احترام رغبة الشركتين في عدم الكشف عن هويتهما، مراعاةً للضغوط التي تواجه فرق أمن المعلومات لديهما في الفترة الحالية. وأضاف: «من الواضح أنهم طلبوا عدم الكشف عن أسمائهم، وفي حين أننا عادةً ما نسعى جاهدين لإدراج أسماء الشركات، إلا أن هذا وقت حافل في عالم الأمن، ولا أُحبّذ فكرة تحويلهم للموارد بسبب قلقهم حيال أمر يتعلق بهذا الكشف». ويأتي هذا البحث في سياق سلسلة من التحقيقات التي أجراها باحثون في أمن السيارات، وكشفت سابقًا عن ثغرات في أنظمة وخدمات شركات من بينها هيونداي وكيا وسوبارو، بما يسلط الضوء على المخاطر الأمنية المرتبطة بتوسع تقنيات الاتصال والتحكم عن بُعد في المركبات الحديثة.