VWs Cyber-Katastrophe

Ich reibe mir immer noch die Augen: Zwischen Weihnachten 2024 und Silvester enthüllte der deutsche Chaos Computer Club, dass Volkswagen Geolokalisierungsdaten von etwa 800.000 Autos für jeden zugänglich hinterlassen hat, der mehr als zehn Minuten mit einigen grundlegenden Hacking-Tools verbracht hat.

Ein anonymer Hacker hat mit einigen sehr einfachen Techniken auf sensible Fahrzeug- und Fahrerdaten zugegriffen. Eine beiläufige Verzeichnisauflistung mit den anfängerfreundlichen Linux-Tools subfinder und gobuster ergab ein Verzeichnis mit einem Heap-Dump, der, nun ja, einige AWS-Anmeldeinformationen sowie viele, viele Benutzerdaten zu Fahrzeugen der VW-Gruppe und ihren Fahrern enthielt. Die meisten davon waren Personen, die sich bei der VW-App registriert hatten, hauptsächlich Kunden von Elektrofahrzeugen.

In Zusammenarbeit mit CCC und dem Magazin Der Spiegel hat der Datenjournalist Michael Kreil die Daten eingehend untersucht und Folgendes gefunden:

• Zulassungsdaten zu 15 Millionen Fahrzeugen
• persönliche Daten von 600.000 Personen: E-Mail, Telefonnummer, Adresse usw.
• 9,5 Terabyte an Ereignisdaten, einschließlich Statusberichten (Warnleuchten, Batteriestatus, Ladeinformationen, Temperaturen usw.)
• die unverschlüsselten geografischen Koordinaten von 807.000 Fahrzeugen.
• Koordinaten zu Audi und Skoda im Datensatz, die korrekt abgeschnitten wurden und nur auf 10 km genau waren.
• Bei 468.000 Fahrzeugen (der Marken VW und Seat) waren die Koordinaten auf 10 cm genau, da die VW-Ingenieure sie einfach nicht abgeschnitten hatten. Mit anderen Worten: In Kombination mit den personenbezogenen Daten konnten einzelne Fahrer genau geortet werden.
• Durch eine kleine Analyse war es möglich, die Wohnadressen der Fahrer, ihre Arbeitsplätze und alle Orte, an denen sie ihre Autos abstellten, zu extrapolieren. Durch den Abgleich von Orten, Zeiten und Schulen konnten die persönlichen Daten von Kindern ermittelt werden. Es wurde nachgewiesen, dass Autos und ihre Fahrer Bordelle, politische Veranstaltungen und Gotteshäuser besucht hatten. Polizeiautos waren auffindbar. Die Autos von Regierungsbeamten. Geheimagenten. Militärpersonal. Eine potenzielle Goldgrube für die Spione der Welt.

Als der Spiegel VW zu dem Datenleck befragte, antwortete das Unternehmen:

„Der Zugriff war nur über ein kompliziertes, mehrstufiges Verfahren möglich.“

Tatsächlich war es gar nicht so kompliziert.

Laut CCC hat Volkswagen drei Hauptfehler begangen:

• Sie haben das Verzeichnis „senstive/acutator/heapdump“ ungeschützt gelassen.
• Sie haben es versäumt, geografische Koordinaten zu kürzen und zu verschlüsseln.
• Selbst nachdem der CCC den Verstoß aufgedeckt hatte, versäumte es VW, ein kompromittiertes Passwort zu deaktivieren.

Und natürlich stellt diese ganze Sache wahrscheinlich einen massiven Verstoß gegen die DSGVO dar. Bleiben Sie dran, um über rechtliche Schritte auf dem Laufenden zu bleiben.

Deutschlands umsatzstärkstes Unternehmen hat bereits mit dem Übergang zu Elektrofahrzeugen zu kämpfen. Es hat auch Schwierigkeiten, einige sehr grundlegende Informationssicherheitskontrollen umzusetzen.

Es ist unglaublich peinlich.

Maurice

🔍Finden Sie ein deutsches auf Automotive Cybersecurity spezialisiertes Unternehmen