Российские владельцы автомобилей Lixiang столкнулись с новой волной взлома мастер-аккаунтов, через которые злоумышленники получают контроль над машиной. После перехвата доступа у автомобиля могут погаснуть экраны, отказать климат-контроль и другие функции, а в отдельных случаях машину не удаётся запустить.

Схема работает через мастер-аккаунт — учётную запись, привязанную к автомобилю и управляющую его настройками и сервисами. Получив доступ, атакующие блокируют ключевые функции и связываются с владельцем с требованием денег за возврат контроля.

Это уже не первый подобный инцидент с Lixiang в России: проблемы с угоном аккаунтов фиксировались и раньше. Тогда владельцы также сталкивались с блокировкой функций и попытками вымогательства со стороны злоумышленников.

Техническая слабость кроется в архитектуре: мастер-аккаунт имеет широкие права на управление автомобилем, а механизмы защиты учётной записи, судя по всему, недостаточны. Пока контроль над аккаунтом не восстановлен, машина остаётся частично или полностью неработоспособной.

Владельцам стоит проверить настройки безопасности своих учётных записей и не использовать повторяющиеся пароли. Производителю же логично было бы пересмотреть модель доступа к мастер-аккаунту и добавить дополнительную аутентификацию.