De locatie van 800.000 elektrische auto's van de VW Group is bekendgemaakt door een softwarekwetsbaarheid
Door een beveiligingslek bij softwarebedrijf Cariad zijn de locatiegegevens van 800.000 elektrische auto's van de VW Group in Europa maandenlang openbaar gemaakt op het internet. Een informant meldde de kwetsbaarheid aan de Europese hackersvereniging Chaos Computer Club (CCC) en de Duitse nieuwsuitgever Spiegel, die de informatie koppelde aan andere persoonlijke gegevens zoals de naam van de eigenaar.
Dit is wat we weten
De problematische software was geïnstalleerd op auto's van de merken Volkswagen, Audi, SEAT en Skoda.
Door het zwakke punt in de software konden journalisten met grote nauwkeurigheid de verblijfplaats van de twee Duitse politici achterhalen. In het bijzonder kon worden vastgesteld dat het lid van het Duitse defensiecomité het verpleeghuis van zijn vader bezocht en ook naar militaire eenheden reisde. Spiegel maakte ook een profiel van de burgemeester, wiens auto gegevens verzamelde over verplaatsingen van het gemeentehuis waar ze werkte naar een fysiotherapeut.
De publicatie zei meerdere terabytes aan voertuiggegevens te hebben gevonden in de cloudopslag van Amazon. Met deze informatie konden conclusies worden getrokken over het leven van elektrische autobezitters. Naast informatie over particuliere gebruikers vonden de journalisten gegevens over 35 elektrische auto's van de Hamburgse politie, andere politici, bedrijfsleiders, medewerkers van de Duitse inlichtingendiensten en bestuurders van de Ramstein Air Base van de Amerikaanse luchtmacht.
De hackersgroep CCC bracht Cariad op de hoogte van de kwetsbaarheid. Het ontwikkelingsbedrijf heeft het probleem snel gepatcht.
Cariad vertelde Spiegel dat de kwetsbaarheid een "misconfiguratie" was en dat het bedrijf geen gegevens verzamelt waarmee iemand een profiel over een individu kan maken. Volgens het bedrijf moesten onderzoekers verschillende datasets samenvoegen, "om verschillende beveiligingsmechanismen te omzeilen". Het bedrijf zei ook dat het zich er niet van bewust was dat iemand anders dan CCC toegang had tot de gegevens in kwestie.
Bronnen: Spiegel, Chaos Computer Club
