Уязвимость в порталах двух автопроизводителей позволила удаленно угнать машину

В начале 2026 года эксперты по безопасности автомобильных IT-систем Сэм Карри и Шубам Ша обнаружили критическую уязвимость в веб-приложении двух крупных автопроизводителей. Проблема заключалась в сервисном портале, через который злоумышленник мог удаленно перехватить полный контроль над автомобилем: получать данные геолокации, открывать и закрывать двери, а также запускать двигатель. В отличие от классических атак через CAN-шину (внутреннюю сеть автомобиля), данный вектор использовал именно веб-интерфейс производителя.

По словам исследователей, уязвимость позволяла действовать без физического доступа к машине, что делает её особенно опасной. Ранее похожие работы Карри уже привлекали внимание индустрии, но в этот раз речь идет о бреши в сервисной инфраструктуре, а не в бортовых системах. Точные названия брендов пока не раскрываются, но под удар попали владельцы автомобилей этих марок по всему миру.

Для бизнеса, использующего ИИ-решения для управления автопарками или подключенными сервисами, эта находка — сигнал пересмотреть безопасность веб-порталов и API (интерфейсов для взаимодействия программ). Если нейросети или агенты (автономные программы) имеют доступ к таким системам, уязвимость может привести к массовым атакам. Рекомендуется внедрять многофакторную аутентификацию и регулярно проводить аудит кода, особенно на стороне серверов производителей.