Maxi richiamo di Fiat Chrysler Automobiles: 1,4 milioni di auto a rischio hacker via internet

25/07/201525/07/2015 John Horsemoon 4 milioni di auto, FCA, Jeep Cherokee, richiamati negli Usa 1, richiamo per aggiornamento software Uconnect, sistema Uconnect

Due esperti di sicurezza sono riusciti a prendere il controllo di una Jeep Charokee guidata da un giornalista di ‘Wired’. I due lavoravano in via riservata proprio per conto di FCA, con il fine di scovare i bug informatici presenti in Uconnect, il sistema di infotainment del gruppo italo-americano. Il richiamo serve per un aggiornamento software rilasciato il 16 Luglio scorso, ma riguarda solo le vetture in vendita negli Stati Uniti

20150725-jeep-cherokee-655x436

Detroit – Fiat Chrysler Automobiles sta richiamando negli Usa circa 1,4 milioni di vetture dotate del sistema Uconnect, l’apparato di infotainment che permette di gestire in modo integrato le funzioni di navigazione e di gestione dell’autovettura, anche di alcuni apparati vitali.

Come spiega la nota dell’azienda, “il richiamo avviene nell’ambito della distribuzione in corso di un software che isola veicoli connessi (a Internet, ndr) da manipolazioni esterne che, se non autorizzate, costituiscono un atto criminale”. Fca ha assicurato di aver adottato “misure di sicurezza a livello di rete per prevenire il tipo di manipolazione remota dimostrata in un recente articolo” e video comparso su Wired martedì scorso.

Il riferimento è a due esperti di sicurezza informatica, Charlie Miller e Chris Valasek, rispettivamente security engineer di Twitter e ricercatore di IOActive, sono riusciti a prendere il controllo di una Jeep Cherokee attraverso il sistema Uconnect, installato su centinaia di migliaia di auto del gruppo FCA.

Miller ha anche un’esperienza quinquennale di servizio alla National Security Agency (NSA), l’agenzia federale che gestisce l’intelligence elettronica all’interno della Intelligence Community statunitense: insieme a Valasek è riuscito a prendere il controllo dell’auto, comandando il climatizzatore, la radio, il motore e il cambio automatico di una Jeep Cherokee guidata da un giornalista di ‘Wired’, utilizzando un computer lontano chilometri dalla vettura. I due ricercatori da anni tentavano di dimostrare la vulnerabilità delle auto, ma prima della Jeep lo avevano fatto usando un computer mentre erano seduti sulle auto di cui intendevano prendere il controllo.

La straordinarietà dell’azione di Miller e Valasek è di aver dimostrato la vulnerabilità dei sistemi di infotainment con accesso a internet, che possono essere perforati da un attacco informatico semplicemente attraverso l’indirizzo IP.

Il richiamo si è reso necessario per aggiornare il softwaredel sistema Uconnect, già rilaciato il 16 Luglio scorso sulla base dei risultati delle ricerche di Miller e Valasek, che hanno lavorato proprio per FCA con l’obiettivo di identificare possibili buchi di vulnerabilità dei sistemi informatici di cui i veicoli saranno sempre più dotati.

Il sistema di infotainment Uconnect montato sulle vetture del gruppo FCA (foto FCA)

E infatti, il gruppo italo-americano ha reso noto di aver adottato le misure necessarie, che “non hanno richiesto azioni da parte di consumatori o concessionari”, bloccando “l’accesso remoto a certi sistemi del veicolo”, dopo averli adeguatamente “testati e implementati” nei giorni scorsi.

Peraltro FCA ha rilevato di “non essere a conoscenza di alcun ferito legato allo sfruttamento del software”, né di lamentele ricevute a riguardo dalla clientela. Nessun incidente è stato mai rilevato. Il gruppo di Auburn Hill nella nota diramata tiene a rilevare come “la sicurezza dei consumatori è la priorità numero uno, così come il mantenimento della loro fiducia verso i prodotti dell’azienda”. A questo fine ha voluto sottolineare che “la manipolazione del software affrontata dal richiamo richiede una conoscenza tecnica ampia e unica, un accesso fisico prolungato al veicolo preso di mira e periodi estesi di tempo per scrivere un codice” e ha spiegato che il richiamo avviene “per eccesso di cautela” e per “ridurre il rischio potenziale di accesso non autorizzato ed illegale ai sistemi del veicolo“. L’aggiornamento può essere installato sia tramite una pennetta USB che da un concessionario in maniera del tutto gratuita.

Nel comunicato di FCA non viene aggiunto niente sulla vulnerabilità, né vengono citati Miller e Valasek, i quali – si è appreso – riveleranno i dettagli durante la conferenza ‘Black Hat’, che dal 1° al 6 Agosto prossimi riunirà tutti gli esperti di sicurezza informatica a Las Vegas.

Attraverso la connessione di un modem interno al sistema Uconnect, i due sono riusciti a prendere il controllo della Jeep, accelerando, frenando, cambiando di marcia (di un cambio automatico, ndr) e addirittura riuscendo a escludere i freni.

FCA non ha però celato il disappunto per la divulgazione della vulnerabilità scoperta dai due ricercatori (mai citati, lo ripetiamo). Al mensile ‘Wired’ hanno però dichiarato che “in nessuna circostanza FCA può tollerare o ritenere appropriato rivelare informazioni che potrebbero potenzialmente incoraggiare o anche aiutare degli hacker ad avere un accesso non autorizzato e illegale ai sistemi del veicolo”, anche se l’azienda ha però aggiunto di apprezzare “i contributi dei sostenitori della cybersecurity per il miglioramento della comprensione delle vulnerabilità in questo settore”.

Sotto il profilo storico industriale, la Jeep Cherokee è il primo veicolo terrestre hackerato al mondo attraverso un sistema di infotainment come Uconnect. Un fatto che ha lasciato il segno – anche se Miller e Valasek hanno lavorato proprio per trovare i buchi nel software per conto del gruppo italo-americano, cui si deve riconoscere una visione preventiva nel segno della sicurezza.

Con una dichiarazione specifica dell’ufficio stampa EMEA (Europa, Medio Oriente e Africa), FCA ha però precisato che “l’attacco informatico pubblicato su Wired Magazine è stato condotto attraverso un modem cellulare integrato, una caratteristica non disponibile sui veicoli venduti al di fuori degli Stati Uniti, visto che al momento i mercati internazionali non offrono la stessa caratteristica di connettività dei veicoli del mercato statunitense”. Ne consegue che “i veicoli Jeep venduti nell’area EMEA (Europa, Medio Oriente e Africa) non sono esposti al tipo di attacco descritto dalla rivista“.

Una precisazione che tranquillizzerà i possessori delle vetture del gruppo FCA, che ha in Jeep uno dei più vivaci brand sul mercato, con record di vendite sia negli Stati Uniti che in Europa.

Se hai gradito questo articolo, clicca per favore “Mi piace” sulla pagina Facebook di The Horsemoon Post (raggiungibile qui), dove potrai commentare e suggerirci ulteriori approfondimenti. Puoi seguirci anche su Twitter (qui) Grazie.