Siber güvenlik uzmanları Talal Haj Bakry ve Tommy Mysk’in keşfettiği bu kritik güvenlik açığı, Tesla araçlarının “Phone Key” uygulamasını hedef alıyor. Saldırganlar, sahte Wi-Fi ağlarıyla kimlik avı yöntemi sayesinde Tesla hesaplarını ele geçirebiliyor, araçları kilitlerini açabiliyor ve hatta çalıştıp sürebiliyorlar.
Siber saldırganlar, WiFi ağına sızıp araçları ele geçirebiliyor. Güvenlik araştırmacıları, Tesla araçlarına yönelik ciddi bir güvenlik açığı keşfettiler. Saldırının merkezinde, Tesla uygulamaları ve araç yazılımlarının son sürümlerinde hala açık olan “oltalama saldırısına” müsait, kimlik avı zafiyeti var.
Saldırı nasıl İşliyor?
Olası bir durumda saldırganlar sahte bir anahtar oluşturarak Tesla’ya uzaktan erişim sağlıyabiliyor, araçların lokasyonunu takip edebiliyor, kilitlerini açıp motoru çalıştırabiliyor.
Saldırganlar, öncelikle Tesla süper şarj istasyonları gibi lokasyonlarda “Tesla Guest” gibi Tesla araçlarında sık kullanılan Wi-Fi ağları ile aynı SSID’ye sahip sahte ağlar kuruyorlar. Kullanıcıların bu ağa bağlanmasıyla birlikte, saldırganların hazırladıkları sahte bir Tesla oturum açma ekranına yönlendirme yapıyorlar. Kullanıcı Tesla hesabına ait bilgileri girdiğinde, saldırganlar bilgileri gerçek zamanlı olarak görebiliyorlar. İki aşamalı doğrulama kullanılsa bile saldırganlar sayfadaki tek kullanımlık şifreyi de topluyor. Bu sayede süper şarj istasyonunda park eden bir Tesla’nın konumunu tespit edip araca yaklaşarak hem hesabı ele geçiriyorlar hem de yeni bir “Phone Key” ediniyorlar.
Saldırının en önemli ve tehlikeli noktası, araç sahibine herhangi bir bildirim yapılmaması. Bu durum, siber suçlulara gerekli zamanı sağlıyor. Hesabı ve yeni bir dijital anahtarı ele geçirdikten sonra suçlular arabanın kilidini açabiliyor, motoru çalıştırıp aracın kontrolünü ellerine geçiriyorlar.
Araştırmacılar bu açığı Tesla’ya bildirdi ancak şirket, bunun beklenen bir davranış olduğunu belirterek sorunu çözmek için adım atmadı. Araştırmacılar, yeni bir dijital anahtar eklenirken, kimlik doğrulama için fiziksel bir “Card Key” kullanımının zorunlu hale getirilmesini öneriyor. Böylece saldırganlar, sadece yazılım düzeyinde erişimle aracı ele geçiremeyecek.
Oltalama saldırıları
Oltalama (Phishing), dolandırıcıların kendilerini güvenilir bir kaynak gibi göstererek hassas bilgilerinizi veya verilerinizi çalmaya yönelik bir siber saldırı yöntemi olarak karşımıza çıkıyor. Bu saldırılara sadece Tesla’nın araçları maruz kalmıyor. Oltalama bütün platformlarda kullanılabilir durumda. Bu yüzden dikkatli olun.
Saldırganlar, genellikle e-posta, metin mesajı veya sosyal medya mesajı gibi iletişim kanallarını kullanarak sahte kimliklerle kullanıcıları kandırmaya çalışırlar. Oltalama saldırları genellikle şu şekilde gerçekleşir:
- Sahte Kimlik: Saldırganlar, bankalar, kredi kartı şirketleri, devlet kurumları veya diğer güvenilir kuruluşlar gibi davranarak sahte e-posta, metin mesajı veya sosyal medya mesajları oluştururlar.
- Yönlendirme: Bu sahte mesajlarda, kullanıcıları tıklamaları için kandıran bir bağlantı veya ek bulunur.
- Sahte Web Sitesi: Tıklanan bağlantı, gerçek bir web sitesine benzeyecek şekilde tasarlanmış sahte bir web sitesine yönlendirir.
- Bilgi Çalma: Sahte web sitesinde, kullanıcıların banka hesap bilgileri, kredi kartı numaraları, şifreleri veya diğer hassas bilgileri girmeleri istenir.
- Veri Hırsızlığı: Kullanıcılar bilgilerini girdikten sonra, saldırganlar bu bilgileri çalarak kimlik hırsızlığı, dolandırıcılık veya diğer yasa dışı faaliyetler için kullanabilirler.
Oltalama saldırılarına karşı bu şekilde korunabilirsiniz:
- Şüpheli mesajlara dikkat edin: Tanımadığınız kişilerden gelen veya hatalı yazılmış e-posta, metin mesajı veya sosyal medya mesajlarına karşı dikkatli olun.
- Bağlantıları tıklamadan önce kontrol edin: Bir bağlantıya tıklamadan önce bağlantının URL’sini dikkatlice kontrol edin. URL’de herhangi bir hata veya tutarsızlık varsa, bağlantıyı tıklamayın.
- Bilgilerinizi paylaşırken dikkatli olun: Asla e-posta, metin mesajı veya sosyal medya mesajı yoluyla banka hesap bilgilerinizi, kredi kartı numaranızı veya şifrenizi paylaşmayın.
- Web sitelerinin güvenliğini kontrol edin: Bir web sitesinde işlem yapmadan önce, web sitesinin URL’sinin “https” ile başlaması ve bir kilit simgesi ile korunması gerektiğinden emin olun.
- Güvenlik yazılımı kullanın: Antivirüs ve anti-phishing yazılımı kullanarak bilgisayarınızı ve cihazlarınızı korumaya yardımcı olun.
- Bilgilendirme ve farkındalık: Oltalama saldırıları hakkında bilgi sahibi olun ve bu tür saldırılara karşı ailenizi ve arkadaşlarınızı da bilinçlendirin.
Oltalama saldırıları, her geçen gün daha karmaşık hale geliyor. Bu nedenle, bu tür saldırılara karşı bilinçli olmak ve gerekli önlemleri almak çok önemli.
ABD’de TikTok’un yasaklanması gündemde
Tesla’nın bu güvenlik açığını ne zaman kapatacağı henüz bilinmiyor. Tesla sahiplerinin, araçlarını park ettikten sonra çevredeki Wi-Fi ağlarına karşı çok dikkatli olmaları önem taşıyor.
Öne çıkan kaynak görseli: Tesla
