Bir bulut sunucusunun yanlış yapılandırılması, 2024 yılı boyunca 800.000 Volkswagen Grubu elektrikli arabasının izleme verilerini birkaç ay boyunca kamuya açık hale getirdi. Kusur, Alman grubun bir yan kuruluşu olan Cariad'ın uygulamalarının yönetimiyle ilgilenen teknik bir hatadan kaynaklandı. çeşitli markalar ve araç takip ve analiz verilerinin toplanması. Bu, Der Spiegel'in Kaos Bilgisayar Kulübü'nden (CCC) araştırmacılarla işbirliği içinde yürüttüğü bir araştırmayla ortaya çıktı. ihbarcı anonim. Etkilenen modeller arasında Volkswagen ID serisi otomobillerin yanı sıra Skoda, Seat ve Audi marka otomobiller de yer alıyor.
Bilgiler, elektrikli araçların çeşitli kullanım ve konum parametrelerinin yönetilebildiği Volkswagen uygulamasından geldi. Uygulama, aracın GPS konumunu her çalıştırıldığında veya durdurulduğunda kaydettiği için, verileri analiz ederek araç sahiplerinin hareketlerinin son derece hassas bir geçmişini yeniden oluşturmak mümkün oldu. Başta Volkswagen ve Seat olmak üzere 460.000 otomobil için veriler o kadar kesindi ki, otomobilin konumunun on santimetreye kadar çıkarılmasına olanak sağladı. Bazı durumlarda ilgili iletişim bilgilerini takip etmek de mümkün oldu, bu da aracın tanımlanmasını ve sahibiyle ilişkilendirilmesini kolaylaştırdı.
Dosyayı temizle
CCC araştırmacıları Cariad'a atfedilebilecek bazı web siteleri keşfettiler ve bu web sitelerinden dosyaları kaydetmeye yönelik bazı yolları yeniden oluşturabildiler. Bunların arasında, şirketin bazı uygulamalarının hafıza dökümünün açık metin halinde ve şifresiz bir kopyası da vardı. Bu dosyalarda, arabanın konum verilerinin bulunduğu Amazon'daki bir bulut depolama sistemine erişim verilerini keşfetmek nihayet mümkün oldu.
Araştırmacılar, bilgiye erişimi olan bir saldırganın, arabanın konum verilerini bir haritayla çapraz referanslayarak sahibinin yaşam tarzı alışkanlıklarını veya rutinini kolayca çıkarabileceğini açıkladı. Örneğin, gizli servislerin genel merkezleri, elçilikler, sevgililerin dairesi, toplantı evi veya detoks merkezi gibi hassas veya skandal yaratan yerlerin önündeki olağan park yerlerini yeniden inşa etmek mümkün olabilirdi.
Jeo-lokalleştirilmiş politikacılar ve polis
Araştırma amacıyla ve ilgili tarafların izniyle, CCC araştırmacıları ve Spiegel gazetecileri iki Alman siyasetçinin hareketlerine ilişkin verileri izlediler: Yeşiller ile birlikte Aşağı Saksonya parlamentosuna seçilen Tostedt belediye başkanı Nadja Weippert ve CDU üyesi Markus Grübel. Federal Meclis'ten.
Verilerden, örneğin Grübel'in Volkswagen'inin sıklıkla babasının yaşadığı huzurevinin ve aynı zamanda bir askeri kışlanın önüne park edildiği görülebiliyordu. Grübel şu anda Savunma Komisyonu üyesidir ve 2018 yılına kadar Savunma Bakanlığı'nda Devlet Sekreteri olarak görev yapmıştır.
Weippert'in durumunda, veriler bunun yerine Oldenburg'daki parlamentoya yapılan gezileri, Tosted'deki belediye binasının önüne, bir spor kulübünün yanına, fırıncının önüne ve fizyoterapistinin ofisine yapılan parkları gösteriyor. Gazeteciler ve araştırmacılar, Weippert ve Grübel'in yanı sıra diğer birçok politikacının, girişimcinin, potansiyel gizli servis ajanının ve Hamburg polisinin 35 elektrikli Volkswagen devriye arabasının verilerinin izini sürmeyi başardılar.
Şirketlerin yanıtı
26 Kasım'da CCC ekibi Cariad, Volkswagen ile yerel ve federal yetkilileri bilgilendirdi ve yetkililer iki şirkete sorunu 30 gün içinde çözmeleri talimatını verdi. Cariad, CCC olayı kamuoyuna açıklamadan önce yapılandırma hatasını düzelterek hemen harekete geçti.
Kaos Bilgisayar Kulübü sözcüsü Linus Neumann, kusuru “çok küçük bir paspasın altında gözetimsiz bırakılan çok sayıda ev anahtarı” olarak tanımladı. Cariad ise ilk analize göre Spiegel araştırmacıları ve gazetecileri dışında hiç kimsenin verilere erişiminin olmadığının garantisini verdi.
Volkswagen bir sözcü aracılığıyla şunları söyledi: “CCC, yalnızca yüksek düzeyde uzmanlık ve önemli miktarda zaman yatırımının yanı sıra farklı veri kümelerinin birleşimini gerektiren çeşitli güvenlik mekanizmalarını atlayarak bazı kullanıcıların verileri hakkında sonuçlara varabildi.”
Ancak Alman grup için bu dava, ciddi bir zorluk anında, bu kez mahremiyet konusunda bir başka kaymayı temsil ediyor. Noel'den kısa bir süre önce sendikalarla yapılan yoğun görüşmelerin ardından şirket, 35.000 kişinin işten çıkarılması karşılığında Almanya'daki üç fabrikanın kapatılması duyurusundan vazgeçti.
Bilgiler, elektrikli araçların çeşitli kullanım ve konum parametrelerinin yönetilebildiği Volkswagen uygulamasından geldi. Uygulama, aracın GPS konumunu her çalıştırıldığında veya durdurulduğunda kaydettiği için, verileri analiz ederek araç sahiplerinin hareketlerinin son derece hassas bir geçmişini yeniden oluşturmak mümkün oldu. Başta Volkswagen ve Seat olmak üzere 460.000 otomobil için veriler o kadar kesindi ki, otomobilin konumunun on santimetreye kadar çıkarılmasına olanak sağladı. Bazı durumlarda ilgili iletişim bilgilerini takip etmek de mümkün oldu, bu da aracın tanımlanmasını ve sahibiyle ilişkilendirilmesini kolaylaştırdı.
Dosyayı temizle
CCC araştırmacıları Cariad'a atfedilebilecek bazı web siteleri keşfettiler ve bu web sitelerinden dosyaları kaydetmeye yönelik bazı yolları yeniden oluşturabildiler. Bunların arasında, şirketin bazı uygulamalarının hafıza dökümünün açık metin halinde ve şifresiz bir kopyası da vardı. Bu dosyalarda, arabanın konum verilerinin bulunduğu Amazon'daki bir bulut depolama sistemine erişim verilerini keşfetmek nihayet mümkün oldu.
Araştırmacılar, bilgiye erişimi olan bir saldırganın, arabanın konum verilerini bir haritayla çapraz referanslayarak sahibinin yaşam tarzı alışkanlıklarını veya rutinini kolayca çıkarabileceğini açıkladı. Örneğin, gizli servislerin genel merkezleri, elçilikler, sevgililerin dairesi, toplantı evi veya detoks merkezi gibi hassas veya skandal yaratan yerlerin önündeki olağan park yerlerini yeniden inşa etmek mümkün olabilirdi.
Jeo-lokalleştirilmiş politikacılar ve polis
Araştırma amacıyla ve ilgili tarafların izniyle, CCC araştırmacıları ve Spiegel gazetecileri iki Alman siyasetçinin hareketlerine ilişkin verileri izlediler: Yeşiller ile birlikte Aşağı Saksonya parlamentosuna seçilen Tostedt belediye başkanı Nadja Weippert ve CDU üyesi Markus Grübel. Federal Meclis'ten.
Verilerden, örneğin Grübel'in Volkswagen'inin sıklıkla babasının yaşadığı huzurevinin ve aynı zamanda bir askeri kışlanın önüne park edildiği görülebiliyordu. Grübel şu anda Savunma Komisyonu üyesidir ve 2018 yılına kadar Savunma Bakanlığı'nda Devlet Sekreteri olarak görev yapmıştır.
Weippert'in durumunda, veriler bunun yerine Oldenburg'daki parlamentoya yapılan gezileri, Tosted'deki belediye binasının önüne, bir spor kulübünün yanına, fırıncının önüne ve fizyoterapistinin ofisine yapılan parkları gösteriyor. Gazeteciler ve araştırmacılar, Weippert ve Grübel'in yanı sıra diğer birçok politikacının, girişimcinin, potansiyel gizli servis ajanının ve Hamburg polisinin 35 elektrikli Volkswagen devriye arabasının verilerinin izini sürmeyi başardılar.
Şirketlerin yanıtı
26 Kasım'da CCC ekibi Cariad, Volkswagen ile yerel ve federal yetkilileri bilgilendirdi ve yetkililer iki şirkete sorunu 30 gün içinde çözmeleri talimatını verdi. Cariad, CCC olayı kamuoyuna açıklamadan önce yapılandırma hatasını düzelterek hemen harekete geçti.
Kaos Bilgisayar Kulübü sözcüsü Linus Neumann, kusuru “çok küçük bir paspasın altında gözetimsiz bırakılan çok sayıda ev anahtarı” olarak tanımladı. Cariad ise ilk analize göre Spiegel araştırmacıları ve gazetecileri dışında hiç kimsenin verilere erişiminin olmadığının garantisini verdi.
Volkswagen bir sözcü aracılığıyla şunları söyledi: “CCC, yalnızca yüksek düzeyde uzmanlık ve önemli miktarda zaman yatırımının yanı sıra farklı veri kümelerinin birleşimini gerektiren çeşitli güvenlik mekanizmalarını atlayarak bazı kullanıcıların verileri hakkında sonuçlara varabildi.”
Ancak Alman grup için bu dava, ciddi bir zorluk anında, bu kez mahremiyet konusunda bir başka kaymayı temsil ediyor. Noel'den kısa bir süre önce sendikalarla yapılan yoğun görüşmelerin ardından şirket, 35.000 kişinin işten çıkarılması karşılığında Almanya'daki üç fabrikanın kapatılması duyurusundan vazgeçti.