Pesquisadores de segurança conseguiram destravar portas e ligar o motor de veículos de duas grandes montadoras globais usando apenas a senha padrão “admin” em um painel administrativo exposto. A brecha permitia assumir o controle total de contas de clientes sem que os donos percebessem. O mais alarmante: a falha não estava no código do carro, mas na configuração de um serviço terceirizado.
Como a porta dos fundos foi aberta
Em fevereiro de 2026, a dupla Shubham Shah e Sam Curry testou os sistemas americanos de duas fabricantes que utilizavam a plataforma de identidade ForgeRock. Nos servidores, o painel de administração mantinha o usuário e a senha originais de fábrica: “admin” / “admin”.
Uma nuances técnica na interpretação de endereços de rede permitiu burlar o bloqueio de acesso externo a esse painel. Com a entrada liberada, os pesquisadores executaram código no servidor, alteraram e-mails e senhas de contas alvo e assumiram o aplicativo móvel — tudo sem desconectar o proprietário legítimo.
O teste real: carro ligado, dono ao lado
Com a autorização do proprietário, a equipe demonstrou o impacto prático: destravou as portas, deu partida no motor, desligou o veículo e o trancou novamente. Durante todo o processo, o aplicativo original do dono continuou funcionando normalmente, sem alertas de sessão concorrente.
Os especialistas também conseguiram redirecionar notificações da conta para seus próprios celulares e, ao final, restauraram as credenciais originais, apagando rastros da invasão.
Uma segunda falha, do outro lado do mundo
A investigação não parou nos Estados Unidos. Shah encontrou um vetor distinto nos sistemas australianos das mesmas marcas: credenciais de administrador destinadas a testes estavam embutidas no código do próprio aplicativo do veículo.
- EUA: Painel admin exposto com senha padrão.
- Austrália: Segredos hardcoded no app do cliente.
- Alcance confirmado: Austrália, EUA e Canadá.
Embora a cadeia completa de ataque tenha sido validada apenas em solo americano, a existência das credenciais no app australiano sugere que o risco era global.
Resposta relâmpago e identidade preservada
Após o aviso oficial, as falhas nos servidores americanos foram corrigidas em cerca de duas horas. Os pesquisadores optaram por não revelar os nomes das montadoras, identificando-as apenas como “duas grandes fabricantes globais” que compartilhavam a mesma solução de login.
Vale notar: o manual da ForgeRock já orientava a remoção ou proteção desse painel antes de colocar o sistema em produção. A responsabilidade, portanto, recai sobre a configuração feita pelas montadoras, não sobre uma vulnerabilidade zero-day na plataforma.
O padrão que assombra a indústria
Este não é um caso isolado para a equipe. Em uma auditoria anterior, o mesmo grupo expôs falhas críticas em marcas como Kia, Honda, Mercedes-Benz, Ferrari e Hyundai. Na ocasião, era possível rastrear veículos, abrir portas e acionar buzinas remotamente.
O histórico revela uma fragilidade sistêmica: a pressa em conectar carros à nuvem muitas vezes atropela a higiene básica de segurança, como rotação de segredos, princípio do menor privilégio e revisão de configurações padrão de fornecedores.
O que observar daqui para frente
Para executivos e investidores do setor automotivo, o recado é claro: a superfície de ataque migrou do hardware para a cadeia de suprimentos de software e identidade. A dependência de plataformas SaaS para autenticação exige auditoria contínua de configuração, não apenas de código.
Profissionais de segurança devem pressionar por gestão de segredos automatizada e testes de invasão que simulem abusos de painéis administrativos legítimos. Para o usuário final, a lição prática permanece: ative autenticação de dois fatores no app do carro sempre que disponível e trate credenciais de acesso ao veículo com o mesmo rigor de um banco digital.
