Sistem otentikasi login di balik aplikasi seluler milik dua pabrikan mobil ternama ternyata dapat diambil alih sepenuhnya oleh peretas. Temuan dari dua peneliti keamanan siber memperlihatkan bagaimana celah fatal ini memungkinkan mereka menerobos akun milik pelanggan mana pun, membobol pintu kendaraan yang terhubung, hingga menyalakan mesin dari jarak jauh.
Kedua aplikasi otomotif tersebut mengelola mekanisme masuk para pengguna lewat ForgeRock, platform manajemen identitas digital yang kini berada di bawah Ping Identity. Di server penyedia identitas tersebut, peneliti menemukan panel konsol administrator yang dibiarkan memakai sandi bawaan pabrik.
Eksploitasi penuh serangan siber ini hanya diuji langsung pada kendaraan milik peneliti sendiri dan mobil pemilik lain di Amerika Serikat yang telah memberi izin resmi pada Februari 2026. Kedua sistem langsung diperbaiki sekitar dua jam setelah mereka melaporkan kerentanan itu kepada pengelola.
Shubham Shah bersama Sam Curry merilis laporan penyelidikan teknis mereka akhir pekan kemarin. Penelusuran berawal dari aplikasi seluler: kedua merek kendaraan menerapkan otentikasi pengguna melalui infrastruktur serupa dengan dua komponen inti, yaitu gerbang proses masuk reguler dan komponen OpenIDM penyimpan basis data pengguna.
OpenIDM dibekali konsol administrator bawaan berbasis modul Apache Felix. Panduan penguatan teknis resmi ForgeRock menginstruksikan administrator jaringan agar mencabut konsol atau memproteksinya sebelum sistem dipublikasikan karena antarmuka ini menyimpan kredensial terpisah dari arsitektur lain. Faktanya, konsol tersebut tetap aktif di server mereka dan memakai setelan standar pabrik yang terdokumentasi: admin untuk nama pengguna dan kata sandi.
Akses antarmuka konsol tersebut sejatinya telah ditutup dari internet publik. Namun, lapisan pelindung web dan perangkat lunak Java di belakangnya menafsirkan penulisan rute web secara berbeda. Melalui manipulasi karakter garis miring dan teks tertentu, peneliti mengecoh pelindung agar menganggap permintaan itu berkas statis biasa. Server internal kemudian memproses rute ke konsol admin yang terkunci hingga sandi bawaan membuka akses penuh.
Setelah berada di dalam konsol admin, peneliti memanfaatkan penjadwal tugas otomatis bawaan untuk memicu skrip perintah di peladen identitas. Langkah ini memberi akses baris perintah langsung pada komputer utama penyimpan seluruh data akun konsumen kedua jenama mobil tersebut.
Arsip data pemilik berada di balik sekat proteksi serupa panel konsol, tetapi skrip yang disusupkan berhasil menjangkaunya dari dalam server. Peneliti lantas mengubah alamat surel dan sandi akun target, masuk melalui aplikasi resmi layaknya pengguna biasa, lalu memperoleh token otorisasi akses asli.
Token digital resmi tersebut berfungsi sebagai kunci virtual mobil target. Lewat fungsi perintah kendaraan di profil akun curian, peneliti berhasil membuka pintu dan menyalakan mesin mobil uji coba saat pemilik berdiri di sampingnya, sebelum mematikan mesin serta mengunci mobil kembali.
Kedua peneliti sangat disiplin mengenai batasan pembuktian ini. Mereka sanggup membuka sesi login aktif bagi setiap akun pelanggan di peladen terdampak, tetapi membatasi perintah fisik hanya pada unit pribadi atau unit yang disetujui formal. Mereka menegaskan “hanya menguji rantai serangan lengkap tersebut pada akun-akun dan kendaraan-kendaraan yang berada di Amerika Serikat.”
Shubham Shah juga mempublikasikan variasi serangan kedua yang menyasar infrastruktur merek mobil yang sama di Australia. Di sana, kredensial administrator peladen identitas tertinggal di kode aplikasi ponsel yang mulanya disiapkan untuk lingkungan pengujian. Rantai pembobolan Australia ini ia tuliskan dalam artikel terpisah.
Dengan menggabungkan kedua skema peretasan tersebut, peneliti menyatakan sanggup mengirimkan perintah jarak jauh untuk membuka pintu dan menyalakan mesin mobil dari merek-merek tersebut di Australia, Amerika Serikat, hingga Kanada. Publikasi kedua tidak merinci tanggal pasti perbaikan sistem di Australia tuntas dikerjakan.
Infiltrasi ini nyaris mustahil disadari pemilik kendaraan asli. Penggantian surel dan sandi di server tidak memutus sesi login atau mengeluarkan pengguna resmi dari aplikasi ponsel. Di saat bersamaan, peneliti mampu membelokkan notifikasi akun ke nomor telepon pribadi mereka, sehingga pemilik asli tidak mendapatkan peringatan apa pun.
Seusai pembuktian, peneliti mengembalikan data surel akun target ke alamat asli. Laporan tidak menyebutkan apakah celah ini sempat disalahgunakan pihak lain sebelum ditutup.
Poin Pemeriksaan Penting bagi Tim Pengelola Identitas
Kelalaian ini bersumber dari tata kelola operasional sistem ForgeRock, bukan cacat kode baru pada peranti lunaknya. Oleh sebab itu, kasus ini tidak mencantumkan label CVE dan tidak ada imbauan keamanan baru vendor yang perlu dipantau. Karakteristik konsol bawaan dan sandi dasarnya telah lama tercatat dalam dokumentasi publik, lengkap dengan peringatan agar pengelola mencopot konsol atau memperbarui sandinya sebelum dipakai di lingkungan komersial.
Kedua peneliti memiliki rekam jejak panjang mengungkap celah otomotif serupa melalui sistem web pendukung aplikasi alih-alih meretas mobil secara langsung. Sebelumnya, mereka berhasil mendemonstrasikan kendali jarak jauh pada mobil produksi Honda, Kia, serta Subaru.
Celah ekosistem Subaru yang pernah mereka laporkan berhasil mengekspos profil akun pemilik dan armada melalui sistem layanan mobil terhubung. Selain itu, penelitian komprehensif terhadap 16 jenama mobil pada 2023 membuktikan kerapuhan arsitektur web semacam ini tersebar luas di industri otomotif modern.
