기아자동차의 일부 서비스에서 발견된 취약점, 차량 탈취로 이어질 뻔했다
기아자동차의 일부 서비스에서 발견된 취약점, 차량 탈취로 이어질 뻔했다
지난 6월 11일, 기아자동차의 차량들에서 위험한 취약점이 발견됐다. 차량의 하드웨어 구성이 어떻게 되어 있든 30초만에 원격으로 차량 내 주요 소프트웨어 기능들을 제어할 수 있게 해 주는 취
www.boannews.com
- 취약점 개요
- 기아자동차의 기아커넥트 서비스에서 심각한 원격 제어 취약점 발견
- 차량 번호판 정보만으로 차량 제어 및 개인정보 탈취 가능
- 연구원들이 2024년 6월 11일에 발견하고, 기아자동차가 현재 보안 패치 완료
- 공격 가능성
- 차량 소유자의 개인정보(이름, 전화번호, 이메일, 주소 등)를 탈취 가능
- 공격자가 차량의 소유자 권한을 해제하고 자신을 새로운 소유자로 등록 가능
- 공격 후 차량 원격 제어 기능을 이용해 차량 탈취 가능
- 취약점 발견 과정
- 연구원들은 기아 커넥트 포털과 딜러 포털을 분석하여 HTTP 요청을 통해 차량 소유자 변경이 가능함을 발견
- 딜러 계정을 통해 유효한 접근 토큰을 생성하고, 이를 이용해 차량 및 소유자 정보를 조회
- 차량 탈취를 위한 4가지 주요 HTTP 요청을 발견하여 공격 성공
- 보안 전문가의 의견
- 연구에 참여한 네이코 리베라, 샘 커리, 저스틴 라인하트, 이안 캐롤은 이전에도 자동차 취약점을 연구한 경험이 있음
- 이번 취약점은 해커들이 악용하기 전에 연구원들이 먼저 발견하여 기아자동차와 협력해 수정 완료
- 기아자동차의 조치
- 기아자동차는 취약점 수정 완료 후 안전한 상황임을 확인
- 연구원들이 발견한 공격 코드는 더 이상 유효하지 않으며, 모든 보안 조치가 완료됨
- 시사점
- 차량 관련 원격 제어 시스템에서의 취약점은 심각한 보안 위협으로 이어질 수 있음
- 개인정보와 차량 제어 권한이 쉽게 탈취될 수 있는 위험성 경고
- 보안 패치가 완료되었으나, 지속적인 보안 관리가 중요
'Kant's IT > Issue on IT&Security' 카테고리의 다른 글
| 지자체 개인정보 보호 인력 부족 및 유출 문제 (0) | 2024.10.01 |
|---|---|
| 군사 보안 위협을 초래한 중국산 CCTV 해킹 문제 (0) | 2024.10.01 |
| 대한결핵협회 사이버연수원 개발 서버에서 개인정보 유출 (1) | 2024.10.01 |
| AI 시대의 클라우드 네이티브 보안 강화: Qualys의 Google Kubernetes Engine의 Container-Optimized OS 스캔 도입 (1) | 2024.10.01 |
| 운송업계를 겨냥한 Lumma Stealer 및 NetSupport 멀웨어 사이버 공격 (1) | 2024.10.01 |