Bağlantılı araç teknolojilerinin yaygınlaşmasıyla otomobillerde uzaktan kontrol ve mobil uygulama kullanımı artarken, siber güvenlik riskleri de gündeme gelmeye devam ediyor. ABD'de iki farklı otomobil markasının araçlarında tespit edilen güvenlik açığı, dijital sistemlerdeki basit bir şifre hatasının ne kadar ciddi sonuçlara yol açabileceğini ortaya koydu.
Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry tarafından hazırlanan rapora göre, iki otomobil üreticisinin müşteri hesaplarını yöneten sistemlere yetkisiz erişim sağlanabildiği belirlendi. Araştırmacılar, mobil uygulamaların kullandığı ForgeRock adlı kimlik yönetimi altyapısında tespit ettikleri açık sayesinde araçların uzaktan kontrol edilebildiğini gösterdi.
Üreticilerin talebi üzerine araştırmada otomobil markalarının isimleri açıklanmadı.
YÖNETİM PANELİNE "ADMIN" ŞİFRESİYLE GİRDİLER
Araştırmacıların tespitine göre, otomobil üreticilerinin kullandığı sistemlerde yönetim paneline erişim güvenlik duvarıyla engellenmişti. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı şekilde yorumlaması, bu korumanın aşılmasına neden oldu.
Yapılan incelemede yönetim panelinin kullanıcı adı ve şifre olarak hâlâ varsayılan "admin" bilgilerini kabul ettiği ortaya çıktı. Böylece araştırmacılar, herhangi bir özel erişim bilgisine ihtiyaç duymadan yönetim paneline ulaşabildi.
Sistemin altyapısını sağlayan Ping Identity'nin güvenlik kılavuzunda da söz konusu yönetim panelinin canlı sistemlerden kaldırılması veya erişim bilgilerinin değiştirilerek korunması gerektiği belirtiliyor.
ARAÇLARIN KAPILARINI AÇIP MOTORLARINI ÇALIŞTIRDILAR
Yönetim paneline erişim sağlayan araştırmacılar, daha sonra izinli bir test hesabının e-posta adresi ve şifresini değiştirdi. Ardından mobil uygulama üzerinden yeni bir oturum açarak aracın uzaktan kontrol özelliklerine erişti.
Bu yöntemle araçların konum bilgilerine ulaşılabildiği ve mobil uygulamanın sunduğu uzaktan kumanda işlevlerinin kullanılabildiği görüldü.
Araştırmada dikkat çeken ayrıntılardan biri ise hesap bilgilerinin değiştirilmesinin araç sahibinin telefonundaki mevcut oturumu kapatmaması oldu. Böylece araştırmacılar, araç sahibinin telefonundaki uygulama oturumu devam ederken farklı bir oturum üzerinden araca müdahale edebildi.
Shubham Shah, test kapsamında araç sahibi otomobilin yanındayken kapı kilitlerini uzaktan açtı ve motoru çalıştırdı. Böylece güvenlik açığının yalnızca müşteri hesaplarına erişimle sınırlı kalmadığı, doğrudan araçların kontrolünü de etkileyebildiği gösterildi.
AVUSTRALYA'DA DA BENZER GÜVENLİK AÇIĞI BULUNDU
Araştırmada ABD'deki sistemlerin yanı sıra Avustralya'da kullanılan altyapıda da ayrı bir güvenlik sorunu tespit edildi.
Shubham Shah'ın hazırladığı ayrı rapora göre, test ortamında kullanılmak üzere oluşturulan yönetici erişim bilgileri bir JavaScript dosyasının içerisine gömülmüştü. Daha da önemlisi, test ortamına ait bu bilgilerin müşterilere hizmet veren canlı sistemde de çalıştığı belirlendi.
Araştırmacılar, söz konusu bilgiler üzerinden sisteme erişerek izinli bir test aracının kapı kilidini açmayı başardı.
Shah, ABD ve Avustralya'daki bulguların birlikte değerlendirildiğinde ABD, Kanada ve Avustralya'daki bağlantılı araçlara uzaktan komut gönderilmesinin mümkün olabildiğini gösterdiğini belirtti.
GÜVENLİK AÇIĞI ŞİRKETLERE BİLDİRİLDİ
Shubham Shah ve Sam Curry, ABD'de tespit ettikleri güvenlik açığını Şubat 2026'da yalnızca test için izin veren araç sahiplerinin otomobillerinde denedi.
Araştırmacıların bulguları otomobil üreticilerine bildirmesinin ardından iki şirket de ABD'de araçlar üzerinde test edilen güvenlik açığını aynı gün içerisinde giderdi. Ayrıca etkilenen erişim bilgilerinin yenilendiği belirtildi.
Bununla birlikte Avustralya'da tespit edilen güvenlik açığının tam olarak ne zaman kapatıldığına ilişkin kamuya açık raporlarda bilgi paylaşılmadı.
AÇIKLARIN KÖTÜYE KULLANILIP KULLANILMADIĞI BİLİNMİYOR
Araştırmanın ortaya koyduğu en önemli risklerden biri, otomobillerin mobil uygulamalar üzerinden kontrol edilmesini sağlayan sistemlerin güvenliğinin araçların fiziksel güvenliği açısından da kritik olması.
Varsayılan şifrelerin değiştirilmemesi, test ortamlarına ait erişim bilgilerinin canlı sistemlerde kullanılması ve güvenlik duvarlarının hatalı yapılandırılması gibi sorunlar, bağlantılı araçların uzaktan kontrol edilmesine kapı aralayabiliyor.
Öte yandan araştırmacılar tarafından ortaya çıkarılan yöntemlerin kendileri dışında kişiler tarafından kullanılıp kullanılmadığına ilişkin kamuya açık raporlarda kesin bir bilgi bulunmuyor. Bu nedenle söz konusu güvenlik açıklarının kötü niyetli kişilerce kullanıldığına dair doğrulanmış bir tespit paylaşılmış değil.