Quer roubar um Tesla? Experimente usar um Flipper Zero.

Pesquisadores de segurança relatam ter descoberto uma falha de projeto que permitiu o sequestro de um Tesla usando o Flipper Zero, uma ferramenta de hacking controversa de US$ 169. Os sócios Tommy Mysk e Talal Haj Bakry, da Mysk Inc., afirmaram que o ataque é tão simples quanto roubar as informações de login do proprietário de um Tesla, abrir o aplicativo da Tesla e sair dirigindo. A vítima não teria ideia de que perdeu seu veículo de US$ 40.000. Mysk disse que a exploração leva minutos e, para provar que tudo funciona, ele roubou seu próprio carro.

A questão não é "hackear" no sentido de invadir um software, mas sim um ataque de engenharia social que engana o usuário para que ele forneça suas informações. Usando um dispositivo Flipper, os pesquisadores configuraram uma rede Wi-Fi chamada "Tesla Guest", nome que a Tesla usa para suas redes de visitantes em centros de serviço. Mysk então criou um site que se parece com a página de login da Tesla.

O processo é simples. Nesse cenário, hackers poderiam transmitir o sinal da rede perto de uma estação de carregamento, onde um motorista entediado poderia estar procurando por entretenimento. A vítima se conecta à rede Wi-Fi e insere seu nome de usuário e senha no site falso da Tesla. O hacker então usa as credenciais para acessar o aplicativo verdadeiro da Tesla, o que aciona um código de autenticação de dois fatores. A vítima insere esse código no site falso e o criminoso obtém acesso à sua conta. Uma vez conectado ao aplicativo da Tesla, é possível configurar uma "chave do celular" que permite destravar e controlar o carro via Bluetooth com um smartphone. A partir daí, o carro é seu.

Você pode ver a demonstração do ataque feita por Mysk no vídeo abaixo.

Segundo Mysk , a Tesla não notifica os usuários quando novas chaves são criadas, então a vítima não saberia que foi comprometida. Mysk afirmou que os criminosos também não precisariam roubar o carro imediatamente, pois o aplicativo mostra a localização física do veículo. O proprietário do Tesla poderia terminar de carregar o carro e sair para fazer compras ou estacionar em frente de casa. O ladrão simplesmente monitoraria a localização do carro usando o aplicativo e, em um momento oportuno, se aproximaria e fugiria.

“Isso significa que, com um e-mail e senha vazados, um proprietário pode perder seu veículo Tesla. Isso é insano”, disse Tommy Mysk. “Ataques de phishing e engenharia social são muito comuns hoje em dia, especialmente com o avanço das tecnologias de IA, e empresas responsáveis ​​devem levar esses riscos em consideração em seus modelos de ameaça.”

Ao comprar um Tesla, a empresa fornece um cartão-chave físico para o carro. O manual do proprietário do Tesla Model 3 afirma que "o cartão-chave é usado para 'autenticar' as chaves do celular para funcionarem com o Model 3 e para adicionar ou remover outras chaves". No entanto, quando Mysk tentou explorar essa vulnerabilidade, descobriu-se que isso não era verdade.

Segundo Mysk, ele testou a vulnerabilidade diversas vezes com seu próprio Tesla. Mysk afirmou ter usado um iPhone recém-restaurado que nunca havia sido pareado com seu carro antes, e garantiu que não havia nenhuma ligação entre o telefone e sua identidade real por meio do ID Apple ou endereço IP. Mysk disse ter conseguido criar uma chave virtual pelo telefone várias vezes sem ter acesso ao cartão-chave físico do Tesla.

Mysk disse que contatou a Tesla por meio de seu programa de relatórios de vulnerabilidades, mas a empresa respondeu que isso não é um problema real. Ele compartilhou uma cópia da troca de mensagens com o Gizmodo. "Investigamos e determinamos que esse é o comportamento esperado", disse a Tesla no e-mail. "A seção 'Chave do Telefone' da página do manual do proprietário para a qual você forneceu o link não menciona a necessidade de um cartão-chave para adicionar uma chave de telefone."

A Tesla, que normalmente ignora perguntas da mídia, não respondeu imediatamente a um pedido de comentário.

“A confirmação da equipe de Segurança de Produtos da Tesla de que esse é o 'comportamento pretendido' é absurda”, disse Mysk. “O design para emparelhar uma chave de telefone foi claramente simplificado ao máximo, às custas da segurança.”

Segundo Mysk, parece que o cartão-chave físico só é necessário para "autenticar" a chave do celular como um mecanismo de segurança. Nos testes de Mysk, ele conseguiu configurar a chave do celular estando perto ou dentro do carro. Se o carro estivesse muito longe, o processo de configuração falhava e o aplicativo solicitava o cartão-chave físico. Mas, contanto que estivesse por perto, Mysk disse que conseguia adicionar uma nova chave do celular sem o cartão-chave.

“Com o design atual da Tesla, se um invasor tiver o nome de usuário e a senha da vítima, ele pode fugir com o veículo”, disse Mysk. “Se uma vítima for enganada e revelar suas credenciais, ela não deveria perder tudo. Ela não deveria perder o carro.”

O Flipper Zero é um dispositivo controverso projetado para entusiastas, hackers e pessoas que querem detê-los. É como um canivete suíço digital, com uma variedade de recursos de conectividade sem fio que permitem interagir (e invadir) outros dispositivos. Recentemente, o cofundador do Flipper disse ao Gizmodo que o objetivo principal do dispositivo é expor as práticas de segurança deficientes das grandes empresas de tecnologia . No entanto, vale ressaltar que existe uma grande variedade de outros dispositivos baratos que permitiriam explorar essa vulnerabilidade da Tesla exatamente da mesma maneira.

Não seria difícil para a Tesla resolver esse problema. Musk afirmou que a empresa deveria tornar a autenticação por cartão magnético obrigatória antes de adicionar chaves pelo celular, e a Tesla deveria notificar os usuários quando novas chaves forem criadas. Mas, sem uma ação da empresa, os proprietários de Tesla podem ficar vulneráveis.

Às vezes, uma interface de computador elegante e sofisticada cria uma ilusão de segurança, mas, na maioria das vezes, as camadas extras de complexidade nos tornam mais vulneráveis. Há 20 anos, os ladrões de carros basicamente tinham duas opções: pegar o chaveiro do motorista ou ligar o veículo sem a chave. Mas quando a chave do seu carro é um amontoado de uns e zeros, as coisas podem ficar complicadas.