HackerNews 编译，转载请注明出处：  在由趋势科技“零日漏洞计划”主办的年度Pwn2Own 汽车安全破解大赛上，参赛团队围绕汽车软硬件安全漏洞展开挖掘，目前已有研究人员通过演示多款系统的漏洞，赢得数十万美元奖金。 其中，Synacktiv团队表现尤为突出。该团队利用信息泄露漏洞与越界写入漏洞，通过基于USB接口的攻击路径，成功攻陷特斯拉的信息娱乐控制单元。 凭借这一成果，该团队斩获3.5万美元奖金，同时也让人们对联网汽车面临的物理访问类漏洞风险的担忧进一步加剧。不过，特斯拉对此或许也会乐见其成。 特斯拉之所以会乐见其成，是因为早在2024年，其就已经奖励了Synacktiv 20万美元现金和一辆Model 3，以表彰他们演示了一系列攻击链。这些攻击本可能被恶意攻击者用来入侵特斯拉的CAN总线和ECU。 从理论上讲，这类高危漏洞足以让攻击者干预特斯拉汽车的多项核心系统，包括发动机与变速箱控制、电池管理、动力总成、悬架系统、车门及座椅控制、远程信息处理系统等。 同年，来自iOS应用开发公司Mysk的两名安全研究人员也演示了一种攻击手法：仅通过搭建一个伪造的WiFi登录页面，就能利用社会工程学手段，在理论上复制特斯拉汽车的手机应用钥匙并将其盗取。 2026年Pwn2Own汽车安全破解大赛于东京举办。在首日比赛中，参赛团队成功演示了37个独特漏洞，累计斩获 51.65万美元奖金。 尽管大赛中不少黑客团队都是通过攻克信息娱乐系统，实现对各类车辆的未授权访问，但这并非他们使用的唯一攻击路径。 例如，Fuzzware.io 团队成功破解了Autel的MaxiCharger 汽车充电桩，赢得5万美元奖金。此外，还有其他团队分别攻破了Phoenix Contact的充电连接器，以及Grizzl-E Smart智能充电桩。 一名研究人员近期警告称，电动汽车接入充电桩的过程，实际上会建立起一条数据链路，而这条链路可能被滥用于发起多种攻击。黑客可借此实施盗刷资金、窃取数据、盗取电力等操作，甚至能实现未授权控制，或直接瘫痪整个系统。 消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 特斯拉正大力宣传其Optimus机器人，但诈骗分子借机发起复杂骗局，瞄准早期采用者的资金。黑客通过广告活动在虚假预购网站上收集信用卡信息。请注意：特斯拉尚未开放任何官方预购渠道。 在谷歌搜索“Optimus Tesla preorder”，搜索结果顶部的赞助链接会导向恶意网站——SANS.edu研究院长约翰内斯·B·乌尔里希博士发现并警告了该骗局。黑客已建立多个仿冒网站，包括 offers-tesla[.]com、exclusive-tesla[.]com、prelaunch-tesla[.]com 等，这些网站复制了特斯拉官网的旧版设计。 这些网站向潜在受害者索取250美元不可退还的定金，并宣称可为Optimus机器人提供1,180美元的最终价格折扣。该定金金额与特斯拉过往预购活动的要求相似。此外，诈骗网站还接受其他特斯拉产品的“预购”。 乌尔里希指出，特斯拉曾在媒体活动中展示过多个升级版机器人，但除今年4月愚人节玩笑外，该公司从未开放官方预购。为探究诈骗手法，该安全研究员尝试用测试信用卡号在虚假网站下单：“订单被接受了，但信用卡未被扣款（暂未扣款？）。随后我被重定向至 auth.cp-tesla[.]com 创建账户，但未收到邮件确认，无法判断是垃圾邮件过滤还是故意设置失败。” 而特斯拉官方认证域名为 auth.tesla.com。 研究员认为诈骗分子难以建立真实的信用卡支付系统，其真实目的是收集支付卡数据，后续用于欺诈交易或在非法黑市出售。这些虚假网站通常仅活跃数日即被关闭。 诈骗分子在谷歌搜索上持续发起恶意广告活动，伪装成品牌官方推广诱导用户访问恶意网站。过去一年，黑客已仿冒Facebook、亚马逊、微软及Slack、Notion、密码管理器KeePass等工具软件，甚至伪装谷歌本身实施诈骗。攻击者还通过窃取谷歌广告账号扩大虚假广告传播范围。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究员Brandon Perry发布最新研究，揭示电动汽车充电数据链路存在严重安全漏洞。当车辆接入充电桩时，双方通过电力线通信建立双向数据连接，形成双重攻击面。 该研究员搭建Linux系统充电桩进行测试，捕获特斯拉车辆通信数据包。连接建立后，设备自动协商协议并配置IPv6地址。充电桩与车辆交换标准化数据，包括车辆通信控制器标识（EVCCID）、供电设备标识（EVSEID）、电池状态等核心信息。中间人攻击可轻易拦截这些数据——当前通信协议未强制要求TLS加密，即便采用加密，证书多为自签名且未经验证机构认证，防护形同虚设。 充电网络通常将EVCCID作为自动计费凭证，而该标识实为通信接口的MAC地址。攻击者通过伪造MAC地址可冒用他人身份激活即插即充功能，实施窃电犯罪。研究还发现，向通信链路注入畸形数据包可触发系统崩溃漏洞。 更严峻的是，开发者常忽视充电线缆作为网络入口的风险。实测显示充电端口开放SSH服务，攻击者可直接通过充电线缆暴力破解登录凭证。公共充电桩普遍依赖充电站管理系统（CSMS）进行认证与电力调度，而开源系统StEVe CSMS和CitrineOS被证实存在致命缺陷：攻击者可远程触发系统崩溃，导致整个充电网络瘫痪，且异常日志中混杂的本地IP地址会大幅增加故障诊断难度。 物理安全同样堪忧。多数电动汽车充电接口盖板可被徒手撬开且不触发警报，专业调试设备已在市场流通，使硬件层面临直接威胁。这些安全漏洞可能引发电网波动、用户数据泄露及基础设施停摆等连锁风险。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 在Pwn2Own Automotive 2025黑客大赛的第二天，安全研究人员两次攻破了特斯拉的Wall Connector电动汽车充电器。 此外，他们还发现了WOLFBOX、ChargePoint Home Flex、Autel MaxiCharger、Phoenix Contact CHARX、EMPORIA电动汽车充电器，以及Alpine iLX-507、Kenwood DMX958XR、Sony XAV-AX8500车载信息娱乐系统（IVI）中的23个零日漏洞。 PHP Hooligans团队率先利用未检查最小值的数字范围比较零日漏洞攻破了特斯拉Wall Connector，随后Synacktiv团队也通过充电连接器攻破了特斯拉的电动汽车充电器，而这种攻击方式此前从未公开演示过。 当天，在特斯拉Wall Connector的黑客攻击尝试中，发生了两次漏洞碰撞：一次由PCAutomotive团队发起，另一次由Summoning团队的Sina Kheirkhah发起，他利用了两个已知漏洞的漏洞链。 根据Pwn2Own Tokyo 2025大赛规则，比赛期间所有目标设备都必须安装所有安全更新并运行最新的操作系统版本。 在比赛第二天，趋势科技的零日漏洞计划（Zero Day Initiative）为23个零日漏洞颁发了335,500美元的现金奖励。目前，Sina Kheirkhah在“Pwn大师”排名中领先。 在Pwn2Own Automotive大赛首日，安全研究人员利用了16个独特的零日漏洞，并获得了382,750美元的现金奖励。比赛结束后，供应商将有90天的时间开发和发布安全补丁，然后ZDI才会公开披露这些零日漏洞。 Pwn2Own Automotive 2025黑客大赛将于1月22日至1月24日在日本东京举行的Automotive World大会上，专注于汽车技术的攻击。 黑客将瞄准汽车操作系统（如Automotive Grade Linux、Android Automotive OS和BlackBerry QNX）、电动汽车充电器和车载信息娱乐系统。 尽管特斯拉还提供了Model 3/Y（基于Ryzen）的等效台式设备，但在比赛日程公布之前，没有安全研究人员注册尝试攻击该公司的Wall Connector。第二天的日程安排和每项挑战的结果也可在此处查看。 一年前，在首届Pwn2Own Automotive东京大赛上，安全研究人员因两次攻破特斯拉并利用多个电动汽车系统中的49个零日漏洞，获得了1,323,750美元的奖励。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

Mozilla分析了25个主要汽车品牌，并在隐私和安全方面给所有品牌打了不及格的分数。他们收集大量的个人数据，并与其他人共享这些数据，而通常未经客户的明确许可。 Mozilla是为支持和领导开源的Mozilla项目而设立的一个非营利组织。该组织制定管理开发政策，经营关键基础组织并管理商标及其他知识产权。他们把自己描述为“一个致力于在互联网领域提供多样化选择和创新的公益组织”。 作为“不包括隐私”项目的一部分，Mozilla分析了汽车制造商提供的隐私政策和应用程序。目标品牌包括宝马、雷诺、斯巴鲁、菲亚特、吉普、克莱斯勒、大众、丰田、雷克萨斯、福特、奥迪、梅赛德斯-奔驰、本田、林肯、讴歌、起亚、GMC、雪佛兰、现代、日产和特斯拉。研究表明，这些公司提供的隐私政策文件向客户通报了所收集的各种数据，包括健康和遗传信息、种族、移民身份、体重、面部表情、位置、驾驶速度、多媒体内容。 这些数据是通过移动应用程序、经销商、公司网站、车辆远程信息处理、传感器、摄像头、麦克风和连接到车辆的电话收集的。Mozilla根据数据使用、数据控制、跟踪记录和安全性对公司进行了排名。最好的是雷诺及其子公司达西亚，它们是需要遵守欧盟通用数据保护条例的欧洲公司。而最差的则是日产和特斯拉。 主要汽车制造商经常披露出影响其客户个人隐私的数据泄露事件。此外，超过一半的品牌的隐私政策显示，他们可以与执法部门和其他政府机构共享收集的信息。此外，84%的受访者表示他们可以与服务提供商、数据经纪人和其他人共享个人数据，而76%的受访者表示他们可以出售收集的个人数据。该组织指出，虽然消费者可以选择不使用汽车应用程序或尽量不使用连接服务，但这可能意味着他们的汽车无法正常工作或者根本无法正常工作。消费者在隐私方面几乎没有控制权和选择权，除了简单地购买旧型号，监管机构和政策制定者在这方面没有提供保障。 Mozilla研究人员试图联系每个被分析的品牌，以澄清他们的隐私政策，但只有梅赛德斯以模糊的声明回应。Mozilla得出的结论是，在所有类型的产品中，汽车的隐私安全是最糟糕的。     转自E安全，原文链接:https://mp.weixin.qq.com/s/sCx8qK3Yo_2nUgvLWtEEpQ 封面来源于网络，如有侵权请联系删除

2023年5月，德国商报发文称特斯拉存在数据泄露事件，时间跨度从 2015 年至 2022 年 3 月，覆盖了美国、欧洲和亚洲特斯拉车主报告的投诉。在此期间特斯拉车主报告了 2400 多起自动加速问题和 1500 多起制动问题，其中包括 139 起“意外紧急制动”报告和 383 起错误碰撞警告导致的“幽灵刹车”报告，客户纷纷表达了对安全的担忧。 而据国内多家媒体报道，近日特斯拉向其员工以及美国执法部门通报了“100G数据泄露事件”的具体规模及原因。 8月18日，美国缅因州总检察长办公室发布消息称，2023年5月，特斯拉数据泄露事件影响超过7.5万人，其中包括与员工相关的各种敏感信息，例如姓名、住址、电话、电邮、薪资等等。 位于特斯拉欧洲超级工厂所在地勃兰登堡州数据保护官Dagmar Hartge表示，“这是印象中规模最大的一次数据泄露事件”。正因为数据量如此庞大，超出当时相关部门处理权限，所以该案件已经移交至荷兰当局。 根据相关法规，若是在调查中证实特斯拉确实存在违规行为，特斯拉可能要面临高额处罚，也就是其年销售额4%的罚款，大概在35亿美元（约合人民币247亿）。 特斯拉对此事进行回应，“心怀不满的前员工”滥用了他们作为服务技术人员的权限，违反了特斯拉的 IT 安全和数据保护政策，特斯拉将对涉嫌泄密的个人采取法律行动，并且没收其电子设备，禁止前雇员进一步使用、访问或传播数据等等。 换句话说，特斯拉已经承认了这一事件，指出这是“内部不法行为”的结果。此次数据泄露事件的严重性不容忽视。特斯拉作为全球领先的电动汽车制造商，在全球保有量如此之高的情况下，还需进一步加大对数据安全和隐私保护方面的投入，并真正将其落到实处。 事实上特斯拉曝出数据安全问题已经不是第一次，除了驾驶问题外，特斯拉还出现过严重的客户信息泄露问题。我们关注到，今年4月6日路透社就曾报道称，在 2019 年至 2022 年期间，特斯拉员工竟通过内部消息系统私下分享车载摄像头记录的音视频内容。   转自Freebuf，原文链接:https://www.freebuf.com/news/375599.html 封面来源于网络，如有侵权请联系删除

8月14日，有网友在互联网平台发消息称，湖南岳阳三荷机场的停车场立有『涉密管制区域，禁止特斯拉入内』的警示牌，不允许特斯拉汽车进入，如果特斯拉车主有停车需求，可以把人送过去后，停到机场外十字路口右拐处。随后这一消息在互联网平台引发广泛关注和讨论。 该机场公安接线人员也向媒体证实情况属实，告示已经发布了几个月，解释是“特斯拉车辆带有某种模式，车主离开后会对车身周边环境进行录像”。该工作人员还补充说明，现在很多单位都禁止特斯拉入内，机场员工的特斯拉也不能进入。 此次网友争论的焦点其实也是特斯拉一直存在的问题——不少地区限制特斯拉汽车进入。原因是哨兵模式下的特斯拉会通过前视摄像头、两侧翼子板摄像头和后视摄像头持续监控周围环境，并保存相关视频影像。 出于安全方面的考量，不少重要或涉密地区不允许特斯拉进入。事实上，国外对于特斯拉的特斯拉哨兵模式同样感到担忧。2022年，德国《每日镜报》援引德国柏林警方内部文件报道，柏林警方做出决定，禁止特斯拉汽车进入警局各单位或在警局各单位泊车，原因出在特斯拉汽车摄像头系统身上。 报道称，柏林警方在2022年初发现，特斯拉所有车型都会随时对车辆周边环境进行不间断的视频记录，并将这些记录导出。这些记录长久存储在位于荷兰的服务器上，但车主本人并不知道这些数据是如何被处理的。报道指出，由于特斯拉可以自行决定是否与第三方共享这些信息，警方认为，在这种情况下，也只有执法人员才能确保对个人数据的保护。 特斯拉回应数据泄露 针对此次热搜，特斯拉官方微博发文回应称，哨兵模式是目前主流智能汽车标配的一种智能安全配置，并非特斯拉独有。特斯拉车辆出厂时，该功能默认处于关闭状态，需要车主手动开启才能使用。 在手动启用哨兵模式后，车辆上锁并挂驻车挡时如果检测到附近可能存在损害或者盗窃车辆等威胁时，系统会向车主发出警报，并记录车辆周围的可疑活动，将视频片段保存在已安装的USB设备中为用户带来用车安全保障。目前该功能已协助警方破获了多起车辆损害和失窃案件。与一些品牌可以通过哨兵模式远程查看车辆周围环境不同，目前特斯拉车辆的这些数据只离线存储在车内USB设备中，车主和特斯拉均不能远程在线查看。 另外，特斯拉公司已在中国建立数据中心，以实现数据存储的本地化。所有在中国大陆市场销售车辆所产生的数据，都会存储在中国境内。2021年10月政府主管部门联合发布《汽车数据安全管理若T规定 (试行)》后，特斯拉公司作为首批试点企业，积极参与了主管部门组织的合规试点工作。 哨兵模式争议不断 在特斯拉的官网，目前有队哨兵模式进行解释，并指出“为保护用户的隐私，哨兵模式录像不会传输给特斯拉。对于 2018 年及之后生产的车型（软件版本为 2020.48.5 或更高版本），录像将保存到车载存储器，可以通过车辆的触摸屏直接查看。” 截止到目前，业界对于哨兵模式争议存在已久。据媒体报道，2023年2月荷兰数据保护局（dpa）发出声明称，消费者需要为使用特斯拉“哨兵模式”造成的隐私侵权负全责。 由此可见，哨兵模式的争议在于采集的数据是否安全。特斯拉之所以被禁止入内，很大原因是担忧这些环境数据会被悄悄上传至美国，大量泄露我国机密地区的信息；其次是汽车是否有权利随意采集环境数据？一旦开启哨兵模式，无论数据存储在厂商还是车主的USB中，哨兵模式将会持续收集汽车周围的信息，其中不乏个人隐私方面信息。 也许车主不会主动泄露这些信息，但在数据采集过程中并没有征集路人的同意，这是否涉及侵犯了用户的隐私呢？     转自Freebuf，原文链接:https://www.freebuf.com/news/374943.html 封面来源于网络，如有侵权请联系删除

据路透社4月6日报道，虽然特斯拉曾向其数百万电动车车主保证其隐私的安全性，但根据路透社对九名前员工的采访，发现在 2019 年至 2022 年期间，特斯拉员工竟通过内部消息系统私下分享车载摄像头记录的音视频内容。 据这些前员工描述，他们分享视频的都包含一些自认为比较有意思的内容，比如一名男子赤身裸体接近一辆汽车，以及一些车祸现场，比如某车主在居民区驾驶时碰撞了一名骑自行车的儿童，但儿童和自行车却被撞飞至完全不同的方向。他们透露，这段视频通过一对一的私人聊天在加利福尼亚州圣马特奥的特斯拉办公室传播开来，“就像野火一样”。 他们还分享了一些图片，例如狗的图片和有趣的路标，员工在将它们发布到私人群聊之时，会刻意取一些吸引眼球的标题。据几位前雇员称，虽然有些帖子只在两名员工之间共享，但其他帖子可能会被数十名员工看到。 特斯拉的在线客户隐私声明里提到”摄像头记录保持匿名，与车主或车主的车辆无关。” 但这些前员工告诉路透社，他们在工作中使用的计算机程序可以显示录音的位置——这可能会暴露车主的住所。除此以外，一名前雇员还表示，他还获取了车辆停放或熄火时所记录的音频，而在几年前，如果车主同意，特斯拉甚至会在车辆关闭时接收视频记录，他们因此还可以看到车主车库中的一些私人物品。目前特斯拉已经不允许车辆在未启动的情况下记录视频内容。 即便是特斯拉首席执行官埃隆·马斯克似乎也不能幸免被侵犯隐私。一位员工曾分享一段车库内视频，里面停放着一辆曾在 1977 年詹姆斯邦德电影《爱我的间谍》中出现的独特潜水车 Lotus Espirit。而这辆车被马斯克于2013 年以近 100 万美元的价格拍下。 被马斯克于2013年拍下的Lotus Espirit，该车曾出现于1977 年詹姆斯邦德电影《爱我的间谍》中 到目前，特斯拉和马斯克均未回应路透社的置评请求。路透社也无法获得前特斯拉员工描述的任何视频或图像。目前还不清楚这种做法是否在特斯拉内部持续至今，或者共享录音的做法有多普遍。一些前员工声称他们只看到与合法工作相关的共享图像。     转自 Freebuf，原文链接：https://www.freebuf.com/news/362852.html 封面来源于网络，如有侵权请联系删除

特斯拉电动汽车在安全碰撞测试中所展现出的安全性高到令人难以置信，其中Model Y 的表现尤其令用户满意，曾在NHTSA的安全测试中获得了最高的IIHS安全等级。 但是，知名特斯拉黑客和软件专家@Greentheonly却在社交平台上爆料称，特斯拉一直在添加涉及碰撞测试机构的代码，包括刚刚测试过 Model Y 的 ANCAP 和 EuroNCAP。 Greentheonly认为，特斯拉之所以能够在全球各个国家碰撞测试中获得好成绩，很有可能是针对性使用了“特殊代码”。例如特斯拉在ANCAP（澳大利亚）、I-VISTA（中汽研中国智能汽车指数）、EuroNCAP（欧洲）、Korea NCAP（韩国）等车辆测试中心都使用了相关的代码。 简单来说，特斯拉可能针对各种不同规则制定出最优碰撞应对方案，并由车辆上的电脑在碰撞测试时实施该方案。有专家称这些代码是用来激活安全系统，使得车辆在碰撞发生时提前做好准备，这也是特斯拉在不同测试平台所使用的代码不一致的原因。 而一旦可以提前反应，那么车辆的碰撞测试就失去了意义，再也无法模拟真实意外碰撞的场景。因为车辆有足够的时间来改善汽车安全环境，包括采取气囊准备打开在内的其他安全措施等。 倘若黑客所曝出的内容是真的话，那么对于特斯拉绝对是一个巨大的打击。目前，特斯拉并未对此事进行回应。ANCAP的官方人员对媒体表示，他们已经知道这件事情，并对此展开调查。 转自 FreeBuf，原文链接：https://www.freebuf.com/news/344842.html 封面来源于网络，如有侵权请联系删除