Uno dei settori più ricchi di opportunità di crescita per le aziende dell’Internet delle cose è quello dell’industria automobilistica. Le auto connesse, o connected cars, hanno captato l’interesse di investitori e aziende dell’ICT, soprattutto per il boom delle applicazioni mobili dedicate alle nostre macchine.
Proprio il mercato delle mobile apps per auto connesse in rete vale oggi 14 miliardi di dollari a livello mondiale, secondo dati SNR Research, con ottime prospettive di crescita nei prossimi anni. Tra i servizi più richiesti dagli automobilisti le notizie sul traffico, l’informazione e l’intrattenimento, accesso a contenuti multimediali, navigatore, diagnostica da remoto, sicurezza elettronica del veicolo.
Un settore fortemente dinamico quello delle connected cars, che nel 2022 raggiungerà i 155 miliardi di valore complessivo per Orbis Research, ma che solleva nuovi ed inquietanti problemi in chiave di sicurezza informatica e della cybersecurity.
Tramite mobile apps è ora possibile prendere letteralmente possesso delle automobili, ottenere le coordinate di posizione del veicolo e il suo percorso, aprire le porte, avviare il motore e controllare i dispositivi in-car aggiuntivi. Da un lato, si tratta di funzioni estremamente utili, mentre dall’altro viene spontaneo chiedersi come le case di produzione proteggono queste applicazioni dal rischio di cyber attacchi.
Applicazioni scaricate migliaia di volte già, in alcuni casi milioni di volte, secondo un’indagine Kaspersky Lab che ha poi rivelato diversi problemi di cybersecurity, tra cui:
- Nessuna difesa dal reverse engineering dell’applicazione. Di conseguenza, i cyber criminali possono capire come funziona l’app e trovare una vulnerabilità che permetta loro di ottenere l’accesso all’infrastruttura lato server o al sistema multimediale dell’auto;
- nessun controllo dell’integrità del codice, caratteristica che permette ai criminali di inserire il proprio codice nell’app e sostituire il programma originale con uno falso;
- nessuna tecnica di rilevamento del rooting. I permessi di root forniscono ai Trojan capacità quasi illimitate e lasciano l’app senza difese;
- assenza di protezione da tecniche di overlay delle app. In questo modo, le app dannose riescono a mostrare schermate di phishing e a rubare le credenziali degli utenti;
- username e password archiviate con testo in chiaro. Usando questa debolezza, un criminale può rubare i dati dell’utente in maniera relativamente facile.
In caso di attacco andato a buon fine, insomma, un cyber criminale è perfettamente in grado di controllare la nostra automobile, sbloccando le porte, mettendo fuori uso l’allarme di sicurezza, rubando dati sensibili e teoricamente il veicolo stesso.
In ogni caso, spiegano i ricercatori, il vettore di attacco richiederebbe una preparazione aggiuntiva, come indurre i proprietari a installare specifiche app dannose appositamente sviluppate in grado di ottenere i permessi di root del dispositivo e accedere alle applicazioni dell’auto. Cosa che non rappresenterebbe di certo un problema per criminali esperti in tecniche di social engineering. nel caso in cui decidessero di colpire i proprietari delle auto connesse.