Als een aanvaller het meel@dres en wachtwoord heeft van het profiel van een Tesla-bezitter, dan kan zijhij zo met die auto wegrijden, ook al is het profiel beschermd door een tweetraps-aanmelding. Tesla weet er van, zo meldden  webveiligheidonderzoekers Tommy Mysk en Talal Haj Bakry van Mysk. Het tweetal gebruikte een FlipperZero-apparaat om de gebruikersnaam, het wachtwoord en de tweetrapsaanmelding van een bestuurder te achterhalen en reden vervolgens met hun voertuig weg.
Digitale sleutels zijn een gebruikelijke en handige middelen geworden om elektrische voertuigen (EV’s) te ontgrendelen, maar het tweetal heeft laten zien hoe linkmiechels hiervan kunnen profiteren. Ze ontdekten een ‘lek’ in de aanmeldingsprocedure voor de Tesla-profielen om een valse sleutel aan te maken, waarmee ze de auto konden openen en wegrijden.
Mysk en Haj Bakry, actief vanuit Duitsland en Canada presenteerden hun bevindingen in een YouTube-presentatie op 7 maart. Ze slaagden erin een Tesla Model 3 te ontgrendelen, ondanks dat het profiel werd beschermd door tweetrapsaanmelding.

Zo’n 150 euro

Voor het opnemen van deze demo om deze aanval te illustreren, hebben ze een Flipper Zero gebruikt om het neppe Tesla-netwerk te laten draaien, maar zoiets zou niet eens nodig zijn. Volgens de twee kan je zoiets met veel apparaten doen, zelfs met een klapdoos (ook wel ‘laptop’ genoemd). Dat is handig want de aanvaller binnen 30 seconden reageren als het Tesla-profiel van het slachtoffer wordt beschermd door tweetrapsaanmelding.

Die spullen kun je gewoon op het web aanschaffen. Flipper Zero is een alleskunner voor beveiligingsonderzoeker, maar kennelijk ook voor een digitale inbreker. Daarmee zou je toegangssleutels en andere signalen kunnen lezen of zelf kunnen aanmaken.
Naast die noodzakelijke spullen maakte het tweetal (dus) een valse Tasla-inlogpagina aan, waarop de aanvaller de voor de inbreker noodzakelijke toegangscodes te pakken moet zien te krijgen. En weg is je Tesla (lijkt me=as, eerlijk gezegd ook beter voor milieu en klimaat, maar dat geheel terzijde).
Zonder Tesla zou die truc niet mogen werken zonder de sleutelkaart van Tesla, maar het duo bleek die helemaal niet nodig te hebben voor de diefstal. Opvallend genoeg is dat ook Tesla’s bedoeling. Natuurlijk moet je als dief wel even oppassen dat de eigenaar niet net op weg is naar de auto. Tesla zou volgens Mysk en Haj Bakry die koppeling verplicht moeten maken. Ach ja: altijd verbonden altijd link (blijft keihard overeind).

Bron: livescience.com