Um pesquisador de segurança identificou uma falha grave em um portal online usado por concessionárias de uma grande montadora, que permitia invasores criar contas de administrador com acesso irrestrito. Essa vulnerabilidade possibilitava visualizar dados sensíveis de clientes e veículos e até desbloquear remotamente os carros.
A descoberta, feita por Eaton Zveare, da empresa Harness, revelou que o mecanismo de login carregava código diretamente no navegador, o que permitia a modificação local e a criação de uma nova conta de “administrador nacional” sem autenticação legítima. Com essa conta, foi possível acessar informações pessoais e financeiras de clientes, rastrear localização em tempo real, e até associar veículos a contas móveis com base no VIN ou nome do proprietário — bastava uma simples declaração de legitimidade. Além disso, era possível usar SSO para acessar sistemas de outras concessionárias e “personificar” outros usuários, sem precisar de senha — uma falha similar a uma descoberta em portal da Toyota em 2023. Segundo Zveare, tais falhas foram corrigidas em cerca de uma semana, em fevereiro de 2025, após a divulgação responsável.
Dica de Prevenção
Para reduzir riscos desse tipo de vulnerabilidade, recomenda-se:
-
Reforço da autenticação, evitando confiar em verificações client-side carregadas no navegador;
-
Adoção de mecanismos robustos como MFA (autenticação multifator) e validações server-side estritas;
-
Auditoria contínua e testes de segurança (como pentests) em portais críticos de concessionárias;
-
Monitoramento ativo de logs e comportamentos anômalos, sobretudo em ações administrativas e de altas permissões.
A falha descoberta evidencia a fragilidade que sistemas digitais mal implementados podem gerar — especialmente quando envolvem controles de acesso e manipulação veicular. A autenticação vulnerável compromete totalmente a segurança do sistema. É fundamental implementar camadas de proteção adequadas para garantir a integridade dos serviços e a segurança dos usuários. Conheça o MFA Vault para fortalecer sua infraestrutura de segurança digital e proteger acessos críticos. Visite: mfa2go.com
Compartilhe nas redes sociais:
