O scurgere imensă de date de la grupul VW arată urmărirea localizării a 800.000 de maşini electrice, cu multe alte date sensibile despre proprietari

O bună parte din problemele actuale ale grupului VW se datorează problemelor de soft cu maşinile sale electrice, produse în ultimii 5 ani. Într-atât de mult, încât pe pieţe precum China maşinile electrice şi-au căpătat imaginea de produse cu soft agasant, în permanente blocaje şi concepere proastă a lui, de multe ori lucrurile elementare fiind scăpate, iar corecţia acestor probleme a durat ani de zile. Tot problemele de soft au determinat întârzierea cu circa 2 ani a modelelor lansate de grupul VW, precum Porsche Macan EV şi alte modele Audi. Dar descoperirea de acum arată o scară incredibilă a neglijenţei de soft, raportată la amploarea, impactul şi importanţa acestui soft pe maşinile grupului. O scurgere imensă de date de la grupul VW a expus public date de la 800.000 de maşini electrice, care includ urmărirea localizării maşinilor în decursul perioadei de exploatare, dar şi multe alte date sensibile despre proprietari, informează publicaţia germană Spiegel.

Şi aici, inevitabil, de amintim despre nenumărate discuţii despre colectarea de date realizată de maşinile electrice actuale şi modul în care sunt gestionate aceste date. Cumva, toţi presupunem că aceste maşini foarte tehnologizate pot colecta foarte multe date, dar nu prea ştim ce transmit ele mai departe pe serverele producătorului, cât de identificabile sunt acele date, cum sunt stocate şi până la urmă, apare şi întrebarea logică de ce producătorul ar avea nevoie de atât de multe date şi de păstrarea lor?

Descoperirea de acum vizează 800.000 de maşini electrice ale mărcilor VW, Audi, Seat şi Skoda. Volume imense de date generate de aceste maşini erau stocate pe servere cloud Amazon, slab securizate. Da, am înţeles cu toţii bine, grupul VW stoca datele de la 800.000 de maşini electrice pe un simplu cloud Amazon, pe un singur cont efectiv. Şi problema e că securizarea acestuia era minimă, astfel încât oricine cu cunoştinţe un pic mai avansate în cum operează cloud-ul celor de la Amazon putea să constate că poate accesa aproape liber aceste date online!

Şi nu, nu e problema în Amazon aici, ci în setările proaste de securitate ale celor de la VW, aici fiind de vină divizia Cariad, cea care a elaborat soft-urile pentru grupul VW de mult timp încoace şi care a devenit un exemplu de companie proprie fondată de un producător pentru soft cu porniri măreţe, dar cu o realizare proastă, care a dat peste cap tot programul de lansări de modele ale grupului. Iar acum ies la iveală lucruri la care orice programator un pic mai avansat se întreabă cum e posibil ca cineva la un asemenea nivel să proiecteze atât de prost un soft.

Da, maşinile electrice ar putea stoca unele date în servere cloud, asta o fac cam toate. Dar să pui toate maşinile acestor mărci să actualizeze datele pe un singur cont, într-o singură bază de date, efectiv, şi să setezi nivele de securitate minimă acolo, ca să nu te complici cu chei de autorizări separate pentru fiecare vehicul şi cu o securizare criptată complet din ambele părţi, e un nivel de programare similară unui student din anul I de la facultate, care abia face primele programe de test.

Datele colectate de la cele 800.000 de maşini cuprind vehicule din Europa, dar şi din alte părţi ale lumii. Circa 300.0000 maşini sunt din Germania, alte 80 mii din Norvegia, alte 68 mii din Suedia, încă 63 mii din Marea Britanie, încă 61 mii din Olanda, alte 53 mii din Franţa, după care urmează Belgia, Danemarca, Elveţia şi Austria, care are 20.000 de maşini, iar lista continuă cu alte ţări cu cifre mai mici.

Şi problema nu e doar în scurgere, ci şi în tipul datelor colectate şi scurse acum. Spre exemplu, maşinile electrice ale VW transmiteau coordonatele GPS ale locaţiei lor de fiecare dată când era pornit şi oprit motorul, iar astfel se generează un întreg profil al locurilor vizitate de acea maşină şi acel proprietar, şi un profil al activităţilor sale, cu rutina zilnică — cât stă acasă, cât stă la muncă, ce locuri mai vizitează şi cât stă acolo.

Se poate şti ce magazine frecventează acesta, unde a mers în vacanţă, ba chiar acum se poate şti şi dacă a mers undeva fără ca acel proprietar să vrea să spună cuiva despre asta. Expresia „ştim unde ai fost vara trecută” a luat o semnificaţie şi mai profundă la VW, până la nivelul în care „ştim unde ai fost în orice clipă de când ai cumpărat maşina noastră electrică”.

Problema e că aceste date nu sunt anonimizate, ci sunt asociate unor nume de conturi, iar cine mai explorează un pic poate da peste telefon şi e-mail asociate în alte tabele de date, iar datele pot fi interconectate logic pe baza aceluiaşi nume de cont şi aceluiaşi ID. Jurnaliştii germani au reuşit să identifice, spre exemplu, datele politicianului german Markus Grübel, despre care ştiau că acesta conduce o maşină electrică VW şi care a fost secretar de stat în Ministerul Apărării al Germaniei până în 2021. Jurnaliştii au aflat că acesta folosea numele de cont „Kussi” şi au aflat că acesta îşi parca periodic maşina în faţa unei case de vacanţă, unde locuieşte tatăl său acum. Au putut vedea şi locurile şi obiectele de apărare ale Germaniei pe care acesta le-a vizitat în virtutea muncii sale. Chiar şi o scurtă vacanţă în Algau cu familia sa e stocată de maşină şi a putut fi accesată şi identificată. De fiecare dată se stoca şi nivelul bateriei, şi multe alte date despre maşină.

Date similare au fost descoperite şi în raport cu Nadja Weippert, o altă politiciană din Germania, care conduce un VW ID.3, ea fiind şi responsabilă de politici de reglementare a datelor. Deci, jurnaliştii germani au ales politicieni relevanţi pentru a arăta cât de revoltător poate fi impactul, iar datele lor printre cele 800.000 de înregistrări au fost analizate cu acordul acestor persoane, ceea ce a permis constatarea gravităţii problemei.

Foto: Nadja Weippert, o politiciană din Germania, deţinătoare a unui VW electric, datele căreia au fost descoperite şi analizate

Jurnaliştii germani spun că informaţia nu era securizată prin parole care trebuiau sparte, ci efectiv nu era securizată deloc, fiind ascunsă doar în spatele unor adrese mai complicate de accesare. Însă oricine explora un pic mai profund aplicaţia sa, asociată maşinii şi citea datele foarte profund, iar apoi mai urmărea şi ce adresă accesa acea aplicaţie pentru stocări de informaţi putea apoi accesa această bază de date imensă, de câţiva terabyte, cu datele lui şi altor 800.000 de oameni puse la un loc!

Datele stocate nu erau nicidecum criptate măcar, iar comunicarea maşinilor cu serverul nu se făcea prin chei digitale unice ce ar fi permis cumva autorizarea reciprocă. Totul era stocat la pachet şi oricine accesa datele pe adresa corectă vedea date şi le şi putea descărca dacă avea câţiva TB spaţiu. Datele disponibile erau şi despre maşini deţinute privat, şi despre cele din flotele companiilor sau instituţiilor publice.

Cei de la Spiegel spun că există date despre vizite ale obiectelor militare din SUA, sau despre maşinile care vizitau baza militară din Ramstein, iar astfel se pot vedea maşinile şi oamenii care obişnuiesc să meargă acolo. Fiind o bază de date atât de expusă, se pot face căutări inverse, în care se filtrează manual maşinile care au fost în preajma unei locaţii de interes, iar de acolo se pot profila acei oameni. După aici, poţi afla că unul din ei a vizitat locuri nu tocmai ortodoxe, iar de aici se obţin instrumente de şantaj şi aşa pot avea loc scurgeri de secrete de stat şi mai profunde. Jurnaliştii spun că şi maşinile din ţări precum Israel şi Ucraina sunt localizate aici şi aici nu mai e nevoie să explicăm ce implicaţii de securitate pot avea asemenea scurgeri de informaţii. Republica Moldova, România şi toate ţările din jur sunt de asemenea incluse.

Politicienii au fost şocaţi să afle asta în decursul pregătirii materialului de presă din Germania, însă şi mai şocat e publicul acum, care s-a pomenit că oricine le putea vedea şi profila aproape toată viaţa. E un şoc de a constata ce neglijenţă a putut admite industria auto germană, or, producătorii germani se scuzau întotdeauna că faptul că ei sunt mai înapoiaţi în soft faţă de chinezi sau faţă de americani vine în schimb cu o protecţie mult mai bună a datelor şi a intimităţii, calităţi la care germanii şi europenii în general ţin foarte mult. Acum, însă, această breşă imensă a arătat că volume imense de date erau colectate şi puse la pachet undeva unde oricine un pic mai insistent le putea accesa. Oricine considera că are un secret în istoria călătoriilor sale cu maşina, poate considera acum că nu-l mai are. Pentru VW, această problemă de imagine e una uriaşă, impactul căreia e încă greu de estimat.

Cei care au investigat cazul le-au oferit celor de la Cariad 30 de zile să facă datele inaccesibile public, informându-i că după asta vor publica, pentru ca după apariţia acestui material aceste date să nu mai poată fi accesate. Cei de la Carriad au ascuns aceste date, deci ele nu mai sunt accesibile acum, dar asta nu reduce din impactul excepţional de grav al acestei descoperiri revoltătoare.