Jakarta, PCplus – Celah keamanan otomotif kembali jadi sorotan setelah Kaspersky memaparkan hasil audit siber yang mengejutkan. Audit ini mengungkap bahwa sistem kendaraan terhubung milik salah satu produsen mobil global bisa diretas. Kerentanan zero-day pada aplikasi kontraktor yang terbuka ke publik telah dimanfaatkan oleh peneliti keamanan. Dengan celah tersebut, kendali atas sistem telematika kendaraan dapat diambil alih tanpa izin.
Baca Juga: Kemampuan Deteksi Ancaman Kaspersky Meningkat 25%
Hal ini memungkinkan manipulasi fungsi vital seperti mematikan mesin atau memindahkan gigi saat mobil melaju. Keselamatan fisik pengemudi dan penumpang pun terancam akibat celah keamanan otomotif yang sangat serius.
Audit dilakukan dari jarak jauh dan menargetkan layanan publik serta infrastruktur kontraktor.
Melalui celah injeksi SQL pada aplikasi wiki, daftar pengguna dan hash kata sandi berhasil diekstrak.
Beberapa kata sandi berhasil ditebak karena kebijakan keamanan yang lemah. Akses ke sistem pelacakan masalah kontraktor pun terbuka, termasuk konfigurasi sensitif telematika kendaraan. Data tersebut mencakup berkas berisi hash kata sandi dari server telematika milik pabrikan. Sistem telematika modern mengelola data kendaraan seperti kecepatan, lokasi, dan status mesin secara real-time.
Kepala Penelitian Kaspersky ICS CERT, Artem Zinenko, menyebut bahwa kelemahan ini sangat umum di industri otomotif. Layanan web terbuka, kata sandi lemah, dan kurangnya autentikasi dua faktor menjadi akar masalah utama.
Kendaraan Terhubung Rentan Diretas Lewat Firmware dan Bus CAN
Di sisi kendaraan, firewall yang salah konfigurasi mengekspos server internal ke publik.
Dengan kredensial yang diperoleh sebelumnya, peneliti berhasil mengakses sistem berkas dan menemukan akun tambahan. Akses penuh ke infrastruktur telematika pun didapat, termasuk perintah pembaruan firmware TCU. Firmware yang dimodifikasi memungkinkan kendali atas bus CAN, sistem komunikasi antar komponen kendaraan. Setelah itu, mesin, transmisi, dan sistem lainnya bisa dimanipulasi secara langsung. Risiko ini menunjukkan bahwa satu titik lemah bisa membuka jalan ke seluruh jaringan kendaraan.
Kaspersky menyarankan kontraktor untuk membatasi akses internet melalui VPN dan mengisolasi layanan dari jaringan utama. Kebijakan kata sandi yang ketat, penerapan 2FA, dan enkripsi data sensitif juga harus diterapkan. Integrasi sistem pencatatan dengan SIEM diperlukan untuk pemantauan ancaman secara real-time.
Untuk produsen mobil, akses platform telematika harus dibatasi dari jaringan kendaraan. Daftar izin interaksi jaringan, penonaktifan autentikasi SSH, dan hak istimewa minimal perlu diterapkan. Keaslian perintah di TCU wajib diverifikasi agar firmware tidak bisa dimanipulasi sembarangan.
Temuan ini menjadi alarm keras bagi industri otomotif yang tengah gencar mengadopsi teknologi kendaraan pintar. Langkah pengamanan siber harus diprioritaskan agar kepercayaan pengguna terhadap mobil terhubung tetap terjaga. Kalau kamu punya kendaraan pintar, pastikan sistemnya selalu diperbarui dan dilindungi dengan baik.