La contraseña admin:admin abrió la puerta a los servidores de identidad de dos fabricantes de automóviles. Desde allí, los investigadores Shubham Shah y Sam Curry pudieron tomar el control de cuentas de clientes y enviar órdenes remotas a coches conectados: desbloquear las puertas y arrancar el motor, entre otras acciones descritas en las pruebas.
El acceso no dependió de una vulnerabilidad nueva en el vehículo ni de una contraseña débil elegida por un conductor. Las aplicaciones Android de las marcas usaban ForgeRock para gestionar los inicios de sesión, y los investigadores encontraron una consola de administración Apache Felix expuesta en los servidores de OpenIDM con sus credenciales predeterminadas. La combinación con técnicas para esquivar los filtros de ruta del cortafuegos permitió llegar a esa consola.
Las marcas no fueron identificadas. Según The Hacker News, los investigadores probaron la cadena completa únicamente con cuentas y vehículos de Estados Unidos, en febrero de 2026, y los dos sistemas afectados quedaron corregidos unas dos horas después de que comunicaran el problema. El trabajo incluía también una ruta distinta contra los sistemas australianos de las mismas marcas.
Dos rutas de ataque sobre ForgeRock
Shah, cofundador de Assetnote, y Curry empezaron revisando las aplicaciones móviles. Ambas marcas autenticaban a sus clientes mediante ForgeRock, una plataforma de identidad que, según PrivacyAffairs, Thoma Bravo combinó con Ping Identity en 2023. En la arquitectura examinada, una parte gestionaba el inicio de sesión y otra, OpenIDM, almacenaba los registros de clientes.
El hallazgo en Estados Unidos se centró en Apache Felix, una consola de administración integrada en OpenIDM. La guía de endurecimiento de ForgeRock recomienda retirar la consola o protegerla antes de poner el sistema en producción: su contraseña se almacena por separado del resto de la configuración. En los servidores de las marcas seguía disponible y aceptaba la combinación predeterminada, con admin como usuario y contraseña.
La consola no estaba abierta directamente a internet. Sin embargo, el cortafuegos de aplicaciones web (WAF) situado delante del servicio y el software Java del servidor interpretaban de forma distinta determinadas direcciones. Al incluir barras codificadas y caracteres adicionales, los investigadores consiguieron que el WAF tratara la petición como si solicitara un archivo estático inocuo, mientras que el servidor la encaminaba a la consola de Felix. The Register describe el mecanismo como una combinación de confusión de rutas y обходo de los filtros del WAF.
Una vez dentro, Shah y Curry emplearon el programador de tareas de Felix para ejecutar un pequeño script Groovy. La tarea les dio acceso de shell al servidor de identidad. Desde esa posición pudieron consultar las API administrativas locales y leer o modificar datos de cuentas. PrivacyAffairs añade que el entorno del servidor también contenía el nombre de usuario y la contraseña del administrador de IDM.
La vía australiana era diferente. Shah encontró credenciales administrativas de OpenIDM codificadas en un archivo JavaScript distribuido con la aplicación Android del fabricante. Se suponía que servían para un entorno de pruebas, pero también funcionaban contra producción y el directorio real de clientes. En esa región, los investigadores sortearon el WAF mediante fallos de recorrido de rutas y pudieron invocar API internas sin tener que ejecutar código remoto, algo que sí necesitaron para completar la cadena estadounidense.
El punto de partida australiano podía ser el número de matrícula de un vehículo. Según iTnews, los investigadores usaron comprobadores públicos de matrículas para obtener el número de identificación del vehículo (VIN), y después realizaron consultas a API internas. Una de las respuestas expuestas incluía hashes de contraseñas y PIN, tokens de notificaciones móviles, números de teléfono y nombres completos. The Register también señala que las consultas permitían obtener información personal y direcciones de correo de propietarios.
De una cuenta comprometida a las órdenes del coche
En Australia, los datos obtenidos permitían dirigirse a cuentas concretas. Shah y Curry podían restablecer la contraseña de un usuario, evitar la autenticación multifactor mediante una concesión de contraseña de OAuth y generar un token de la aplicación. Con ese token podían enviar órdenes al vehículo usando las funciones que ya ofrecía la aplicación móvil.
En la cadena estadounidense, el acceso a Felix dio a los investigadores una vía para llegar a los registros de OpenIDM desde dentro del servidor. Modificaron el correo electrónico y la contraseña de una cuenta objetivo, iniciaron sesión con las credenciales nuevas a través del flujo normal de la aplicación y recibieron los mismos tokens de acceso que utiliza la app legítima.
Esos tokens daban acceso a las órdenes asociadas a la cuenta. En un coche de prueba, con su propietario al lado, los investigadores desbloquearon las puertas y arrancaron el motor; después lo apagaron y volvieron a cerrar el vehículo. The Register menciona además órdenes para hacer sonar el claxon y activar los faros. PrivacyAffairs enumera funciones de localización y telemetría, además del bloqueo, desbloqueo y arranque o parada del motor.
Los investigadores limitaron las pruebas físicas a coches propios o de propietarios que habían dado permiso. Shah y Curry afirmaron que podían abrir una sesión para cualquier cuenta de cliente en los servidores afectados, pero no ejecutaron las órdenes del vehículo en coches ajenos sin autorización. En palabras de su publicación, «tested the complete chain only with US accounts and vehicles».
La toma de cuenta podía ser difícil de detectar para el propietario. Cambiar el correo y la contraseña no cerraba la sesión que ya estaba abierta en la aplicación del cliente. Además, los investigadores podían dirigir las alertas de la cuenta a su propio teléfono y apartarlas del dispositivo del propietario. PrivacyAffairs explica que la app aceptaba un identificador de dispositivo y un token de notificaciones proporcionados por el teléfono.
Para demostrar el proceso en una cuenta de prueba, los investigadores cambiaron el correo por una dirección que controlaban y establecieron una contraseña nueva. El código de verificación de seis dígitos llegó a esa bandeja de entrada. La cuenta mostraba los vehículos asociados, sus VIN, modelos y suscripciones, junto con las órdenes remotas disponibles para el cliente.
“Not sure how many other people would find this chain!”
— Shubham Shah, cofundador de Assetnote
Tras la prueba, los investigadores restauraron la dirección de correo real. Ninguna de las publicaciones citadas dice si otra persona había encontrado o utilizado antes esos accesos, ni indica cuántas cuentas o vehículos podían verse afectados.
Los sistemas de Estados Unidos resistieron más
Los investigadores describieron la protección de la operación norteamericana como más trabajada que la australiana. Shah dijo a iTnews que acceder a los sistemas de Estados Unidos era «definitely a lot harder». A The Register, explicó que el ataque estadounidense «required a lot more work» porque el fabricante había dedicado más tiempo a proteger los entornos OpenIDM de Estados Unidos, Canadá y Europa.
La diferencia estaba, en parte, en el WAF. En Australia, el filtro era más débil y los investigadores no necesitaron ejecución remota de código para superarlo. En Estados Unidos, tuvieron que encadenar la confusión de rutas con el acceso a la consola de Felix y la ejecución de una tarea en el servidor. La protección no impidió el ataque, pero elevó el trabajo necesario para completar la intrusión.
Los detalles publicados no revelan las marcas. The Register cuenta que algunos aficionados identificaron como un Toyota el coche parcialmente difuminado de un vídeo de demostración, basándose en la forma del retrovisor y el sonido del desbloqueo. También especularon que los fabricantes podían ser Toyota y su marca de lujo Lexus. Un portavoz de Toyota Motor Corporation no confirmó ni negó esas afirmaciones.
Curry explicó que él y Shah respetaron la petición de anonimato de las compañías porque no querían que desviaran recursos por la divulgación. The Register reproduce su explicación: «Obviously, they have asked not to be named, and while normally we would fight to actually include the company names, it's a busy time in the security world and I don't like the idea of them diverting resources because they are worried about something with this disclosure.»
El fallo estaba en la configuración del servidor
El problema no se atribuyó a un fallo nuevo de ForgeRock. El uso de la consola y su contraseña predeterminada estaban documentados, y las recomendaciones de endurecimiento del producto ya indicaban que debía eliminarse o protegerse antes de producción. Por ello, The Hacker News señala que no hay un CVE asociado ni un aviso de seguridad del proveedor que seguir.
Los fabricantes corrigieron los sistemas afectados unas dos horas después de recibir el aviso, según The Hacker News y The Register. iTnews añade que no hubo recompensa ni reconocimiento mediante un programa de bug bounty. PrivacyAffairs afirma que se cambiaron las credenciales expuestas. La publicación australiana de Shah no da una fecha concreta para la corrección de esos sistemas.
Para equipos que administren este software, The Hacker News destaca dos comprobaciones concretas: buscar la consola Apache Felix en /system/console y eliminarla o cambiar su contraseña predeterminada; y no confiar únicamente en reglas de rutas del WAF para ocultar páginas administrativas. El fallo surgió, precisamente, porque el filtro y el servidor interpretaban de manera distinta una petición.
Shah y Curry habían investigado antes servicios conectados de fabricantes de automóviles. The Hacker News recuerda sus trabajos sobre Honda, Kia y Subaru, además de una investigación de 2023 sobre debilidades web en 16 marcas. PrivacyAffairs sitúa otro antecedente en noviembre de 2024: una vulnerabilidad en el panel administrativo de Subaru Starlink permitió a la pareja desbloquear, arrancar y localizar coches, además de consultar un año de historial de ubicación; Subaru corrigió aquel problema en un día.
En este caso, la identidad de las dos marcas sigue sin estar confirmada públicamente. Tampoco se ha publicado si las compañías buscaron en sus registros indicios de accesos anteriores. El trabajo de Shah y Curry muestra que, en estos sistemas, una cuenta comprometida puede dar acceso a las mismas funciones remotas que la aplicación entrega al propietario.
Fuentes: The Hacker News, The Register, iTnews, PrivacyAffairs
