Falha de segurança permitia que hackers destravassem e ligassem remotamente carros de duas grandes montadoras

Dois pesquisadores de segurança conseguiram, no início de 2026, comprometer a infraestrutura de conectividade veicular de duas montadoras de grande porte, destravando portas e acionando motores remotamente em qualquer veículo conectado à rede das empresas. A raiz do problema está no ForgeRock, plataforma de autenticação e autorização usada por ambas, mas o pior da história não é a ferramenta em si: é a coleção de erros básicos de implementação que transformaram sistemas em portas abertas para qualquer pessoa invadir.

Credenciais à mostra

Os responsáveis pela descoberta são Shubham Shah e Sam Curry, dupla que publicou artigos detalhados sobre cada frente da investigação. As montadoras afetadas não foram nomeadas, mas os próprios pesquisadores as identificam como Montadora #1, cujos veículos atingidos estão nos EUA, e Montadora #2, com exposição na Austrália, EUA e Canadá. Uma inspeção visual do vídeo de demonstração sugere que a segunda empresa pode ser a Toyota, dado que o veículo exibido aparenta ser um RAV4.

Shah começou pela engenharia reversa do aplicativo Android da segunda montadora. O primeiro problema apareceu cedo: um subdomínio de telemática com uma página de “AMBIENTE DE TESTE” acessível diretamente pela internet pública, sem qualquer restrição de rede. O segundo problema, ainda mais grave, era o sistema de JavaScript presente nesse endpoint: o arquivo apresentava a lógica completa do backend junto com chaves de API. Com isso, Shah conseguiu puxar informações de clientes, cruzar placa de licença via dados públicos e chegar até o e-mail do proprietário do veículo.

A partir daí, a dupla identificou que a montadora usava os mecanismos de autenticação do ForgeRock e dedicou “algumas semanas” entendendo como estavam configurados. O objetivo era criar um token de acesso válido para qualquer usuário, e o caminho mais curto veio do mesmo JavaScript: ele também continha credenciais de administrador em seu código, provavelmente esquecidas de um ambiente de teste. 

Proteção de baixo nível

No caminho, a dupla encontrou um Web Application Firewall protegendo os serviços do ForgeRock. A hipótese dos pesquisadores é direta: o WAF estava ali precisamente porque os responsáveis sabiam o quão crítico era o que havia por trás. A decompilação do app havia revelado um “serviço de pin” acessível por fora do WAF. Esse serviço levou a um endpoint que retornava dados de qualquer usuário via e-mail, telefone ou ID. Depois, usando uma ferramenta de enumeração de caminhos alimentada pelo GPT-5.6 Sol Ultra, encontraram um caminho desprotegido que permitia sobrescrever a senha de qualquer conta, assumindo o controle parcial.

O que ainda faltava era uma forma de burlar o MFA. E aqui está um dos pontos mais constrangedores do artigo: o ambiente australiano da montadora permitia que usuários simplesmente ignorassem a autenticação de múltiplos fatores por completo. Com um encadeamento cuidadoso de tokens entre endpoints e o próprio aplicativo móvel, Shah e Curry conseguiram emitir tokens de acesso válidos, personificar qualquer conta e, finalmente, enviar o comando de API para “liberar a porta”. O carro de teste abriu a porta sem resistência.

Os riscos da era digital

Embora destrancar e ligar um carro remotamente seja o destaque do artigo, as vulnerabilidades mostraram um espectro muito mais importante: localização do veículo, quilometragem, nível de combustível, autonomia estimada, estado das portas e informações pessoais dos clientes.

Em tese, qualquer pessoa maliciosa com as habilidades da dupla teria acesso a uma base de rastreamento em tempo real de todos os veículos conectados dessas fabricantes nas regiões afetadas. As falhas foram corrigidas após a divulgação responsável, e nenhum dos fabricantes foi identificado oficialmente.

O caso é um alerta importante sobre os riscos de transformar cada vez mais dispositivos conectados à internet sem dar a mesma atenção à segurança digital. O mais preocupante é que os pesquisadores não precisaram explorar alguma falha extremamente sofisticada: encontraram credenciais expostas, endpoints desprotegidos e até mecanismos de autenticação que podiam ser ignorados. São erros básicos que, quando aparecem em uma infraestrutura capaz de controlar funções físicas de um automóvel, deixam de ser apenas problemas técnicos e passam a representar riscos concretos para os consumidores.

Fonte: Tom’s Hardware