Otomotiv dünyasındaki dijital dönüşüm ve internete bağlı akıllı araç sistemleri, beraberinde ciddi siber güvenlik risklerini de getiriyor. ABD ve Avustralya merkezli yürütülen yeni bir siber güvenlik araştırması, iki dev otomobil üreticisinin mobil altyapısında hayret verici bir güvenlik zafiyetini gün yüzüne çıkardı. Uzmanlar, en temel varsayılan giriş bilgisi olan “admin” parolasını kullanarak araçların kapı kilitlerini açmayı ve motorlarını uzaktan çalıştırmayı başardı.
Basit Bir Parola İhmali Kriz Yarattı
Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry tarafından hazırlanan rapora göre, her iki otomobil devinin müşteri hesaplarını yöneten “ForgeRock” isimli kimlik doğrulama altyapısında kritik açıklar tespit edildi. Güvenlik duvarının web adreslerini farklı yorumlamasından kaynaklanan bir yönlendirme hatasını aşan araştırmacılar, doğrudan sunucu yönetim paneline ulaştı.
İşin en çarpıcı noktası ise panelin kullanıcı adı ve şifre olarak hâlâ varsayılan “admin” kombinasyonunu kabul ediyor olmasıydı. Altyapı sağlayıcısı Ping Identity’nin güvenlik kılavuzlarında bu panelin canlı sistemlerden kaldırılması veya erişim bilgilerinin derhal güncellenmesi gerektiği açıkça belirtilmesine rağmen, üreticilerin bu adımı atlamış olması büyük bir ihmali ortaya koydu.
Araç Sahibinin Haberi Bile Olmadı
Yönetim paneline erişen siber güvenlik uzmanları, izinli bir test kullanıcısının e-posta adresini ve şifresini değiştirdi. Bu işlem sırasında araç sahibinin telefonundaki mevcut oturum kapanmadığı için kullanıcı herhangi bir anormallik fark etmedi. Mobil uygulama üzerinden kontrolü ele alan araştırmacılar, aracın anlık GPS konumuna ulaştı; araç sahibinin gözleri önünde kapı kilitlerini açıp motoru uzaktan çalıştırdı.
Benzer İhmal Avustralya’da da Görüldü
Araştırmacı Shubham Shah’ın yayımladığı bir diğer inceleme ise benzer bir zafiyetin Avustralya pazarında da yaşandığını gösterdi. Sistem mimarisini inceleyen ekip, test ortamı için oluşturulan yönetici giriş bilgilerinin bir JavaScript dosyasında açık şekilde unutulduğunu ve bu verilerin canlı müşteri sisteminde de geçerli olduğunu belirledi. Bu yöntemle de yine onaylı bir test aracına uzaktan komut gönderilerek kilitleri açıldı.
Elde edilen bulgular; ABD, Kanada ve Avustralya’da yollarda olan çok sayıda internet bağlantılı aracın benzer bir risk altında olduğunu kanıtladı.
Şirketler Açığı Hızla Kapattı
Şubat 2026’da gerçekleştirilen kontrollü testlerin ardından güvenlik uzmanları durumu derhal ilgili üreticilere bildirdi. Şirketlerin talebi doğrultusunda marka isimleri kamuoyuyla paylaşılmazken, üreticilerin bildirimin yapıldığı gün açığı kapatıp erişim yetkilerini sıfırladığı kaydedildi. Avustralya ayağındaki sistem açığının ne zaman kapatıldığı ya da bu zafiyetlerin daha önce kötü niyetli kişilerce kullanılıp kullanılmadığı ise netlik kazanmadı.