Die Sicherheitsforscher Tommy Mysk und Talal Haj Bakry von Mysk Inc. haben ein YouTube-Video veröffentlicht, in dem sie erklären, wie einfach es für Hacker sein kann, mit einem cleveren Social-Engineering-Trick mit Ihrem Auto abzuhauen.
Und so funktioniert es.
Viele Tesla-Ladestationen - von denen es weltweit über 50.000 gibt - bieten ein WiFi-Netzwerk namens Tesla Guest" an, in das sich Tesla-Besitzer einloggen und es nutzen können, während sie darauf warten, dass ihr Auto aufgeladen wird, so das Video von Mysk.
Mit einem Gerät namens Flipper Zero - einem einfachen Hacker-Tool für 169 Dollar - haben die Forscher ihr eigenes "Tesla Guest"-WiFi-Netzwerk erstellt. Wenn ein Opfer versucht, auf das Netzwerk zuzugreifen, wird es zu einer gefälschten Tesla-Anmeldeseite weitergeleitet, die von den Hackern erstellt wurde, die dann den Benutzernamen, das Passwort und den Zwei-Faktor-Authentifizierungscode direkt von der gefälschten Website stehlen.
Obwohl Mysk einen Flipper Zero verwendet hat, um sein eigenes WiFi-Netzwerk einzurichten, kann dieser Schritt des Prozesses auch mit fast jedem anderen drahtlosen Gerät durchgeführt werden, wie z. B. einem Raspberry Pi, einem Laptop oder einem Mobiltelefon, so Mysk in dem Video.
Sobald die Hacker die Anmeldedaten für das Tesla-Konto des Besitzers gestohlen haben, können sie sich damit in die echte Tesla-App einloggen, aber sie müssen dies schnell tun, bevor der 2FA-Code abläuft, erklärt Mysk im Video.
Eines der einzigartigen Merkmale von Tesla-Fahrzeugen ist, dass die Besitzer ihr Telefon als digitalen Schlüssel verwenden können, um ihr Auto zu entriegeln, ohne eine physische Schlüsselkarte zu benötigen.
Nachdem sie sich mit den Anmeldedaten des Besitzers in der App angemeldet hatten, richteten die Forscher einen neuen Telefonschlüssel ein, während sie ein paar Meter vom geparkten Auto entfernt blieben.
Die Hacker brauchten das Auto nicht einmal direkt zu stehlen, sondern konnten den Standort des Tesla über die App verfolgen und ihn später stehlen.
Mysk zufolge wird der ahnungslose Tesla-Besitzer nicht einmal benachrichtigt, wenn ein neuer Telefonschlüssel eingerichtet wird. Und obwohl das Handbuch des Tesla Model 3 besagt, dass die physische Karte erforderlich ist, um einen neuen Telefonschlüssel einzurichten, fand Mysk heraus, dass dies nicht der Fall war, wie im Video zu sehen ist.
"Das bedeutet, dass ein Besitzer mit einer geleakten E-Mail und einem Passwort sein Tesla-Fahrzeug verlieren kann. Das ist Wahnsinn", so Tommy Mysk gegenüber Gizmodo. "Phishing- und Social-Engineering-Angriffe sind heute sehr verbreitet, insbesondere mit dem Aufkommen von KI-Technologien, und verantwortungsbewusste Unternehmen müssen solche Risiken in ihre Bedrohungsmodelle einbeziehen."
Als Mysk das Problem an Tesla meldete, antwortete das Unternehmen, dass es das Problem untersucht und für unbedenklich befunden habe, so Mysk in dem Video.
Tesla reagierte nicht auf die Anfrage von Business Insider nach einem Kommentar.
Tommy Mysk sagte, er habe die Methode mehrfach an seinem eigenen Fahrzeug getestet und sogar ein zurückgesetztes iPhone verwendet, das noch nie mit dem Fahrzeug gekoppelt war, berichtete Gizmodo. Mysk behauptet, es habe jedes Mal funktioniert.
Mysk sagte, er habe das Experiment nur zu Forschungszwecken durchgeführt und dass niemand Autos stehlen sollte.
Am Ende des Videos sagte Mysk, dass das Problem behoben werden könnte, wenn Tesla die Authentifizierung mit einer physischen Schlüsselkarte zur Pflicht machen und die Besitzer benachrichtigen würde, wenn ein neuer Telefonschlüssel erstellt wird.
Quellen: Business Insider, Gizmodo
