Was hinter dem Tesla-Hack steckt

14. Januar 2022, 13:07
  • security
  • cyberangriff
  • iot
  • tesla
image

Via Third Party Apps verschaffte sich ein junger Sicherheitsspezialist Zugriff auf mehrere Teslas. Warum das nicht unbedingt beängstigend ist. Eine Einordnung.

David Colombo ist 19 Jahre alt, Hacker und IT-Security-Spezialist. Zu erfahren ist das in seiner Biografie auf Twitter. Auf dem sozialen Netzwerk verkündete er Anfang Woche, dass er 25 Teslas in 13 verschiedenen Ländern unter seine Kontrolle gebracht habe.
Der Tweet hat schnell an Fahrt aufgenommen, wurde gelikt und retweetet und auch Medien wie 'Bloomberg' haben darüber berichtet. So dramatisch wie die Meldung auf den ersten Blick aber klingt, ist sie indes nicht. Wie Colombo auf Twitter selbst schreibt, hat er keine Lücke in der Tesla-eigenen Software ausgenutzt, sondern in Third-Party-Applikationen, wie es sie wie Sand am Meer gibt. Sie heissen zum Beispiel "Teslafi", "Teslamate" oder "Teslascope" und helfen Besitzerinnen und Besitzern der entsprechenden Fahrzeuge unter anderem dabei, Fahrzeugdaten, Fahrtenbücher, Analysen und Auswertungen darzustellen.
Damit diese Apps funktionieren, müssen Tesla-Besitzerinnen und -Besitzer diesen Apps über eine API mittels Tesla-Token Zugriff auf ihr Nutzerkonto geben. So nützlich diese Apps auch sind, so risikoreich ist auch deren Einsatz. Denn nicht alle erfüllen offensichtlich höchste Sicherheitsstandards. Das bestätigt auch Colombo auf Twitter: Es sei keine Schwachstelle in Teslas Infrastruktur, sondern ein Fehler der Besitzer.
Bei vernetzten Geräten und dem Internet der Dinge können sich Aussenstehende über das schwächste Glied, im aktuellen Fall die Third-Party-Apps, Zugriff verschaffen und je nachdem die Kontrolle darüber übernehmen. Das geht vom Einschalten des Fernsehers, über die Steuerung der Rollläden bis hin zum Einschalten des Radios im Tesla, und kann im schlimmsten Fall tatsächlich schwerwiegende Folgen haben. Um sie zu verhindern, braucht es aber in erster Linie eine hohe Sensibilität für den Umgang mit Zugangsdaten und für die Nutzung von Apps von Drittanbietern mit geringen Sicherheitsstandards.

Loading

Mehr zum Thema

image

Globale Ransomware-Angriffswelle zielt auf VMware-Systeme

Tausende Server mit der Virtualisierungslösung ESXi sollen betroffen sein. Die ausgenutzte Schwachstelle ist seit langem bekannt.

publiziert am 6.2.2023
image

Swisscom ändert Herausgabepraxis bei E-Mails

Wenn Staatsanwälte von Swisscom die Herausgabe von E-Mails verlangen, sollen Betroffene sich besser wehren können.

publiziert am 6.2.2023
image

Exchange-Lücken: NCSC ist gefrustet

Trotz eingeschriebener Warnbriefe sind in der Schweiz immer noch 660 Server ungepatcht. Manchmal wurde die Annahme des Briefes auch verweigert.

publiziert am 6.2.2023
image

Atlassian patcht kritische Jira-Lücke

Die Schwachstelle mit einem Score von 9.4 ermöglicht es Angreifern, sich als andere Benutzer auszugeben und Zugriff auf eine Jira-Service-Management-Instanz zu erhalten.

publiziert am 6.2.2023