Wielki wyciek danych użytkowników Volkswagena. Ujawniono polityków i pracowników służb wywiadowczych

W jednym z największych przypadków naruszenia danych związanych z samochodami podłączonymi do sieci, spółka zależna Volkswagena – Cariad, odpowiedzialna za tworzenie oprogramowania dla tej marki, ujawniła wrażliwe informacje o ponad 800 000 właścicieli pojazdów elektrycznych. Wyciek objął takie marki jak Volkswagen, Audi, Seat i Skoda w Niemczech, Europie i innych częściach świata, a dane były dostępne publicznie przez kilka miesięcy. 

Na liście osób, których dotknął wyciek, znaleźli się niemieccy politycy, przedsiębiorcy, a nawet cała flota pojazdów elektrycznych wykorzystywanych przez policję w Hamburgu. Istnieją także podejrzenia, że pracownicy służb wywiadowczych mogli być częścią tego incydentu. Najbardziej niepokojące były dane o lokalizacji – w przypadku 460 000 pojazdów informacje te były niezwykle precyzyjne. W samochodach Volkswagen i Seat dokładność wynosiła aż do 10 cm, a w Audi i Skodzie – do 10 km. Według niemieckiej publikacji Spiegel Netzwelt, ujawnione dane obejmowały m.in.: adresy e-mail, numery telefonów, dokładne adresy właścicieli pojazdów, szczegóły dotyczące miejsc uruchomienia i wyłączania pojazdów elektrycznych. Jak ujawniono, dane były przechowywane na niezabezpieczonej i źle skonfigurowanej platformie chmurowej Amazon. To kolejny przypadek, gdy nieodpowiednie zarządzanie danymi w chmurze doprowadziło do ich publicznego wycieku.

Hakerzy ujawnili wyciek z Volkswagena

Incydent został ujawniony przez znane stowarzyszenie hakerów Chaos Computer Club (CCC), które otrzymało cynk od anonimowego informatora. Klub zgłosił sprawę niemieckiemu Federalnemu Ministerstwu Spraw Wewnętrznych i policji stanowej, która dała Volkswagenowi i Cariad 30 dni na zabezpieczenie danych przed ich upublicznieniem. Volkswagen poinformował, że problem został już rozwiązany, a dane są obecnie bezpieczne. Producent podkreśla, że hasła oraz informacje o płatnościach nie były częścią wycieku, a naruszenie danych dotyczyło wyłącznie pojazdów zarejestrowanych w usługach online. W komunikacie prasowym Volkswagen podkreśla, że uzyskanie dostępu do danych wymagało wysokiego poziomu wiedzy technicznej oraz pokonania kilku mechanizmów bezpieczeństwa. Zdaniem firmy, wyciek nie był przypadkowym incydentem, lecz wynikiem złożonego, wieloetapowego ataku, który wymagał znacznych nakładów czasu i specjalistycznych umiejętności.

Samochody podłączone do sieci – wygoda czy zagrożenie?

Incydent wywołał debatę na temat bezpieczeństwa danych w samochodach podłączonych do sieci. Jak pokazują wcześniejsze przypadki, Volkswagen nie jest jedyną firmą dotkniętą tego rodzaju problemami. W 2023 roku Toyota przyznała się do niewłaściwego skonfigurowania serwera, który przez blisko dekadę udostępniał dane klientów w internecie. Równolegle badania Mozilli opublikowane w 2023 roku wykazały, że wszystkie 25 analizowanych marek samochodów zbiera nadmierną ilość danych osobowych użytkowników i wykorzystuje je niezgodnie z pierwotnym celem. Mozilla określiła nowoczesne pojazdy mianem „koszmaru prywatności”. Chociaż Volkswagen zapewnia, że dane są już zabezpieczone, incydent pokazuje, jak wielkie zagrożenie stanowi brak odpowiedniego zabezpieczenia w dobie samochodów podłączonych do sieci. Warto zadać sobie pytanie, czy wygoda wynikająca z nowoczesnych technologii w pojazdach nie prowadzi do nieakceptowalnych kompromisów w zakresie prywatności i bezpieczeństwa.