Exploit na Volvo/Eicher: como um investigador ganhou controlo sobre todos os veículos da frota
Um investigador encontrou vulnerabilidades na plataforma de frotas Volvo/Eicher que permitiam controlo total sobre veículos e utilizadores. 155 pontos no HN e 50 comentários.
Já fiz auditorias de segurança a APIs. Sei o que é encontrar um endpoint mal protegido que expõe dados que não devia. Mas há níveis. O que o investigador de segurança Eaton encontrou na plataforma My Eicher é de outro nível.
A 27 de julho de 2026, Eaton publicou um write-up detalhado de como ganhou controlo total sobre a plataforma de gestão de frotas da VE Commercial Vehicles — uma joint venture entre o Volvo Group e a Eicher Motors. São 275 mil veículos, 115 mil clientes. O artigo teve 155 pontos e 50 comentários no Hacker News.
A vulnerabilidade
O My Eicher é uma plataforma de gestão de frotas para veículos comerciais na Índia. Permite fazer tracking em tempo real, ver painéis de instrumentos ao vivo, definir geofences. A app está disponível para Android e iPhone. O site é myeicher.in.
Eaton andava desde o início de 2024 à procura de uma vulnerabilidade no My Eicher e encontrou-a por pura sorte. A API do site tem endpoints como /cepauthmgr/user/validateMobileNo. Um dia, Eaton tentou aceder ao path acima na hierarquia: /cepauthmgr/user/. Em vez de um erro 404, recebeu uma lista completa de todos os endpoints da API de utilizadores. Sem autenticação.
A partir daí, foi como cair numa cascata. Endpoints de customers, users, persons — todos expostos e sem qualquer controlo de acesso. Os números são absurdos: 748k customers, 174k users, 186k persons, 676k vehicles, 76k documentos (cartões Aadhaar, cartas de condução, etc.).
Escalação para controlo total
A exposição de dados já era grave. Mas Eaton foi mais longe. Os endpoints internos permitiam account takeover — ganhar controlo sobre a conta de um utilizador ou empresa. Havia, por exemplo, uma lista de 2,5 milhões de códigos OTP desde 2021, o que bastava para pedir o código de uma conta e lê-lo logo a seguir. Com isso, era possível assumir o controlo de toda a frota de veículos associada a essa conta.
Centenas de veículos. Tracking em tempo real. Dados de localização históricos. Painéis de instrumentos ao vivo. Tudo acessível a partir de uma API que não pedia autenticação para listar os seus próprios endpoints.
Eaton reportou as vulnerabilidades à VECV a 3 de novembro de 2025. A empresa não respondeu aos primeiros contactos, mas a 20 de novembro as APIs internas deixaram de estar acessíveis e a falha principal ficou corrigida. A 28 de julho de 2026, já depois da publicação, foram resolvidas outras preocupações e a plataforma passou a estar, segundo o investigador, protegida, sem “ameaça atual para qualquer cliente ou veículo”. Uma correção sem resposta e várias semanas de silêncio dizem muito sobre o estado da segurança em plataformas IoT automóvel.
O que aprendemos
Este caso tem todos os elementos clássicos de uma falha de segurança catastrófica. API mal documentada com endpoints internos. Falta de autenticação em paths sensíveis. Dados pessoais em massa expostos. E uma cadeia de privilégios que permite escalar de leitura para controlo total.
A parte mais perturbadora é que se trata de veículos físicos: camiões e autocarros que circulam em estradas reais, com pessoas lá dentro.
Um comentário no HN resumiu bem o sentimento: “lembrem-se, vendors como a Volvo não querem realmente que reportem vulnerabilidades — deviam vendê-las a um broker e receber dinheiro, é win-win”. É cínico, mas é realista. O investigador teve de insistir várias vezes, de graça, para que o problema fosse resolvido. Quantos outros não se deram a esse trabalho?
Recursos adicionais
Partilhar
Comentários 0
Ainda sem comentários — sê o primeiro.