Elektrikli Araç Şarj İstasyonları Risk Altında

Tehdit aktörleri, hizmet kesintilerine neden olmak, enerji çalmak ve müşterilerin hassas ve kişisel bilgilerine erişmek için elektrikli araç şarj noktalarına uzaktan DDoS ve DoS saldırıları gerçekleştirebilir.

Son araştırmalara göre 2022’de satılan tüm araçların yüzde 5,8’i elektrikliydi. Bu, teknolojinin ne kadar yeni olduğu düşünüldüğünde büyük bir rakam. Ancak bilgisayar korsanları da bu gelişmeleri takip ediyor ve elektrikli araçlarla veya şarj istasyonlarıyla ilgili olası herhangi bir güvenlik açığı için tetikte bekliyor.

Güvenlik açıkları, elektrikli araç şarj altyapısı hizmetleri ve enerji kaynaklarının dağıtımı konusunda uzmanlaşmış İsrail merkezli bir şirket olan Saiflow’un araştırmacıları tarafından keşfedildi.

Güvenlik açıkları, Şarj Sistemi Yönetim Hizmeti (CSMS) ile elektrikli araç şarj noktası, özellikle Açık Şarj Portu Protokolü (OCPP) kullanımı arasındaki iletişim ile ilgili. Kusurların birden fazla satıcı tarafından sunulan CSMS’leri etkilediği doğrulandı.

Güvenlik açığına birden fazla şarj cihazının kullanımının doğru yönetilememesi ve zayıf kimlik doğrulama politikasının sebebiyet verdiği söyleniyor.

Açık Şarj Portu Protokolü tek seferde birden fazla şarj noktası bağlantısının nasıl yönetileceğini bilmiyor ve saldırganlar Şarj Sistemi Yönetim Hizmeti ile yeni bir bağlantı açarak bunu kötüye kullanabiliyor. Bir şarj noktası adına CSMS ile yeni bir bağlantı açarak, saldırgan orijinal bağlantının kapatılmasına veya işlevsiz hale gelmesine neden olabilir.

Buna ek olarak, saldırganlar CSMS’ye bağlanabilirse, ödeme kartı verileri ve sunucu kimlik bilgileri gibi diğer hassas veriler de dahil olmak üzere sürücülerin kişisel bilgilerini ele geçirebilirler.

Bazı durumlarda şarj cihazı bilinmeyen sürücü kimliklerini onaylaması durumunda saldırganın ödeme yapmadan aracını şarj etmesine olanak sağlayacaktır.

Saiflow araştırmacıları CSMS platformlarının kamuya açık olmasından dolayı saldırganların sofistike yöntemlere ihtiyaç duymadan uzaktan saldırıyı gerçekleştirebilecekleri ve deneyimsiz bir hacker’ın bile sınırlı kaynaklarla saldırıyı gerçekleştirmesinin mümkün olabileceğini belirtiyorlar.