Falha em banco de dados da Volkswagen permitia localizar clientes

Uma falha no sistema da Cariad, subsidiária de software da Volkswagen, permitia que a localização de carros da montadora fosse acessada por terceiros. O caso foi revelado pela revista alemã Der Spiegel, que recebeu a informação de uma fonte anônima — provavelmente um whistleblower, nome dado a pessoas de uma organização que denunciam práticas internas. Segundo o jornal, os dados de 800 mil carros em todo o mundo podiam ser acessados.

A Cariad desenvolve e gerencia o aplicativo Volkswagen, um app para donos de veículos da marca receberem informações e dados sobre os seus carros. Assim como fazem outras fabricantes, o app da Volkswagen coleta dados de GPS e de outras fontes. Contudo, o Der Spiegel mostrou que essas informações estavam armazenadas sem proteção em um servidor da Amazon.

Os dados foram violados por terceiros?

Segundo a Cariad, nenhum agente mal-intencionado, como um grupo de hackers, teve acesso aos dados. Se você é dono de um veículo da Volkswagen ou das subsidiárias, pode ficar relativamente tranquilo. A informação sobre a sua localização e hábitos de deslocamento não foram roubados — só a Volkswagen sabe isso e muito mais sobre você.

A subsidiária da Volkswagen e o Chaos Computer Club, um grupo europeu de hackers white hat, destaca que o acesso aos dados demandava um alto conhecimento de programação. Ou seja: um usuário comum não saberia acessar, mas crackers ou serviços de inteligência, sim.

Como funciona o sistema de rastreio do app da Volkswagen?

O app para donos de carros da Volkswagen detecta, entre outras informações, a localização do carro toda vez que ele é ligado ou desligado. Assim, é possível identificar os hábitos de deslocamento do motorista. Dois políticos alemães, Nadja Weippert e Markus Grubel, permitiram que a revista acessem os seus dados no banco da Cariad.

Com essas informações, foi possível identificar quando o carro de Nadja estava em casa, no parlamento estadual, na padaria ou na clínica de fisioterapia que ela frequenta. Através disso, como o sistema capta o momento em que o carro era ligado ou desligado, quem tem acesso aos dados descobre quanto tempo o veículo ficou estacionado. Em outras palavras, o tempo que o motorista fica no local.

A Cariad corrigiu o problema após ser informada pela revista Der Spiegel. Além de dados de carros da Volkswagen, o app também é usado com veículos de marcas que integram o grupo da montadora: Audi, Seat e Skoda. Pelo que apurou a revista, a maioria dos 800 mil carros no app estão na Europa. Contudo, apenas 460 mil carros tinham a informação sobre localização.

O caso retoma o problema das montadoras “se digitalizarem demais”. Em março de 2024, publicamos sobre fabricantes que vendiam os dados de hábito de direção para seguradoras. Em 2023, a Mozilla publicou um relatório mostrando que a proteção de dados dos veículos modernos um desastre, além de capturarem informações demais.

No caso da Cariad e Volkswagen, o motivo apresentado para registrar dados dos clientes de carros elétricos é aprimorar o sistema de bateria — desde a própria célula até a parte de carregamento. Os clientes não são obrigados a compartilhar os dados de localização com as montadoras. O problema é até quando isso será opcional e o cliente será obrigado a divulgar informações para comprar um carro (e se é que isso poderá ser chamado de compra)

Com informações de Der Spiegel e Mashable