Tesla: demostración de ataque de phishing MiTM realizado con un Flipper Zero

Actualización: El título y el contenido se actualizaron para aclarar que se trata de un ataque de phishing MiTM realizado con un Flipper Zero, pero que podría ser realizado por otros dispositivos.

Los investigadores demostraron cómo podían llevar a cabo un ataque de phishing Man-in-the-Middle (MiTM) para comprometer las cuentas de Tesla, desbloquear automóviles y ponerlos en marcha. El ataque funciona en la última aplicación de Tesla, la versión 4.30.6, y la versión 11.1 del software de Tesla 2024.2.7.

Como parte de este ataque, los investigadores de seguridad Talal Haj Bakry y Tommy Mysk registran una nueva "llave telefónica" que podría usarse para acceder al Tesla.

Los investigadores informaron sus hallazgos a Tesla diciendo que vincular un automóvil a un teléfono nuevo carece de la seguridad de autenticación adecuada. Sin embargo, el fabricante de automóviles determinó que el informe estaba fuera del alcance.

Si bien los investigadores realizaron este ataque de phishing utilizando un Flipper Zero, podría hacerse fácilmente con otros dispositivos, como una computadora, una Raspberry Pi o teléfonos Android.

Ataque de phishing

Un atacante en una estación de supercargadores de Tesla podría desplegar una red WiFi llamada "Tesla Guest", un SSID que se encuentra comúnmente en los centros de servicio de Tesla y los propietarios de automóviles están familiarizados con él.

Mysk usó un Flipper Zero para transmitir la red WiFi, pero señala que se puede lograr lo mismo usando una Raspberry Pi u otros dispositivos que vienen con capacidades de punto de acceso WiFi.

Una vez que la víctima se conecta a la red falsificada, se le muestra una página de inicio de sesión falsa de Tesla en la que se le pide que inicie sesión con las credenciales de su cuenta de Tesla. Lo que sea que la víctima ingrese en la página de phishing, el atacante puede verlo en el Flipper Zero en tiempo real.


Después de ingresar las credenciales de la cuenta de Tesla, la página de phishing solicita la contraseña de un solo uso para la cuenta, para ayudar al atacante a eludir la protección de autenticación de dos factores.

El atacante tiene que moverse antes de que expire la OTP e iniciar sesión en la aplicación de Tesla con las credenciales robadas. Una vez en la cuenta, el actor de amenazas puede rastrear la ubicación del vehículo en tiempo real.

Adición de una nueva clave

El acceso a la cuenta de Tesla de la víctima permite al atacante agregar una nueva 'Clave de teléfono'. Para ello, deben estar muy cerca del coche, a escasos metros de distancia.

Las llaves del teléfono utilizan la aplicación móvil de Tesla junto con el teléfono inteligente del propietario del automóvil para permitir el bloqueo y desbloqueo del vehículo automáticamente, a través de una conexión Bluetooth segura.

Los autos Tesla también usan Card Keys, que son tarjetas RFID delgadas que deben colocarse en el lector RFID de la consola central para arrancar el vehículo. Aunque son más seguros, Tesla los trata como una opción de respaldo si la llave del teléfono no está disponible o se queda sin batería.

Mysk dice que agregar una nueva llave telefónica a través de la aplicación no requiere que el automóvil esté desbloqueado o que el teléfono inteligente esté dentro del vehículo, lo que crea una brecha de seguridad significativa.


Para empeorar las cosas, una vez que se agrega una nueva llave de teléfono, el propietario del Tesla no recibe una notificación sobre el hecho a través de la aplicación y no se muestra ninguna alerta en la pantalla táctil del automóvil.

Con la nueva llave del teléfono, el atacante puede desbloquear el coche y activar todos sus sistemas, lo que le permite alejarse como si fuera el propietario.


Mysk señala que el ataque tiene éxito en un Tesla Model 3. En el informe a la compañía automotriz, el investigador señala que la cuenta de Tesla secuestrada debe pertenecer al conductor principal y que el vehículo ya debe estar vinculado a una llave telefónica.

Los investigadores argumentan que requerir una clave de tarjeta Tesla física al agregar una nueva llave de teléfono mejoraría la seguridad al agregar una capa de autenticación para el nuevo teléfono.

"Pude agregar una segunda llave de teléfono en un nuevo iPhone sin que la aplicación de Tesla me pidiera que usara una tarjeta de acceso para autenticar la sesión en el nuevo iPhone. Solo inicié sesión en el nuevo iPhone con mi nombre de usuario y contraseña, y tan pronto como le otorgué a la aplicación acceso a los servicios de ubicación, activó la clave del teléfono", escribieron Tommy Mysk y Talal Haj Bakry en el informe a Tesla.

La compañía respondió diciendo que su investigación determinó que ese era el comportamiento previsto y que el manual del propietario del Tesla Model 3 no establece que se necesite una tarjeta de acceso para agregar una llave de teléfono.

BleepingComputer se ha puesto en contacto con Tesla con preguntas sobre lo anterior y si planean emitir una actualización OTA que introduzca medidas de seguridad para evitar estos ataques, pero aún no hemos recibido respuesta.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta