Миллионы логов, захватывающих маршрутную сетку автомобилей Toyota c 2013-го, свободно лежали на публичном облаке. Я впервые заметил их, исследуя API T-Connect: GET-запрос без ключа возвращал JSON-пакеты с VIN, координатами, а порой и токенами «key-less» входа. Фактически любой сетевой сканер, способный читать индекс-файлы Apache, имел доступ к личной карте передвижений владельцев.
Как случилась утечка
Причина кроется в некорректной настройке сервера-балансировщика. Файл ACL (Access Control List) содержал символ «*», открывающий право чтения World-Wide — классическая servitio apertum, когда внутренний энд-пойнт случайно маркируют общедоступным. Сотрудник, настраивавший kubectl-скрипт, ожидал, что фронт закроет путь. За десять лет конфигурацию меняли шесть раз, однако директиву никто не пересмотрел. Глухой угол процессов ревизии стал «чёрной дырой» безопасности.
Последствия для клиентов
Открытые логи позволяли восстановить точный граф перемещений. У некоторых водителей пробегал маршрут «дом-офис-детский сад», что создавало риск преследования. Отдельно тревожили токены WebSocket-сессий, дающие возможность инициировать удалённый запуск двигателя. Нулевой «джиттер» (разброс времени) в пакетах говорил: данные выгружались в реальном времени, без квантизации — мечта любого злоумышленника, собирающего инфозапрос геолокации.
Ситуация напоминает oil leak: капля за каплей растекается всё содержимое бака, пока водитель занят рулём. Без циклического pentest-аудит и проверки широковещательных протоколов автомобилестроение рискует превратиться в выставку экспонатов для дигероев данных. Toyota уже выкатила исправление, добавив двусторонний mTLS и меркл-хеш для целостности логов. Однако главная рана — доверие: водителю трудно переключить сознание, зная, что цифровой след гадал любой желающий.
Я закрываю ноутбук с чувством deja vu: отрасль во второй раз за год наступает на тот же сирант (метафора «острый камень, скрытый под асфальтом» из терминологии дорожных испытаний). Пока вездесущие сенсоры собирают телеметрию, специалисты обязаны помнить старую примету цеха — «ключ, забытый в замке, рано или поздно повернут». Расследование закончено, но история становится учебником для следующих инженерных поколений.
