Một lỗ hổng bảo mật trên hệ thống xác thực của một số hãng ô tô đã cho phép tác nhân bên ngoài mở khóa xe hoặc điều khiển động cơ từ xa. Dù sự cố đã được khắc phục, vụ việc tiếp tục làm dấy lên lo ngại về điểm yếu trong khâu bảo mật của các dịch vụ kết nối giữa xe và smartphone.

Theo Gigazine ngày 10/11/2026, hai nhà nghiên cứu bảo mật Shubham Shah và Sam Curry đã phát hiện nhiều lỗ hổng trên nền tảng xác thực ForgeRock mà hai hãng xe đang sử dụng.

Trong quá trình kiểm tra máy chủ xác thực liên kết với ứng dụng Android của các hãng, nhóm nghiên cứu phát hiện lỗi cấu hình bảo mật. Cụ thể, giao diện quản trị bị để lộ ra bên ngoài, trong khi một số hệ thống vẫn sử dụng mật khẩu quản trị mặc định.

Nếu bị khai thác, lỗ hổng này có thể cho phép kẻ tấn công thực thi mã trên máy chủ và chỉnh sửa thông tin tài khoản khách hàng. Theo nhóm nghiên cứu, bằng cách đó họ có thể vượt qua cơ chế xác thực thông thường để giành quyền điều khiển từ xa tương đương chủ xe.

Trong thử nghiệm thực tế trên một chiếc xe có sự đồng ý của chủ sở hữu, nhóm đã mở khóa cửa, khởi động và tắt máy từ xa. Họ cũng có thể xem vị trí xe, quãng đường đã di chuyển và mức nhiên liệu còn lại.

Tại Australia, nhóm tiếp tục phát hiện một hướng tấn công khác. Từ biển số xe, họ có thể lần theo số khung VIN để xác định tài khoản của chủ xe. Kết hợp với lỗ hổng trong hệ thống xác thực, kẻ tấn công có thể đặt lại mật khẩu tài khoản và gửi lệnh điều khiển từ xa.

Hệ thống xác thực nói trên được kết nối với xe tại nhiều thị trường như Mỹ, Canada và Australia. Tuy nhiên, mức độ ảnh hưởng còn phụ thuộc vào từng dòng xe và việc người dùng có đăng ký dịch vụ xe kết nối hay không.

Danh tính hai nhà sản xuất ô tô liên quan chưa được công bố. Trên các cộng đồng trực tuyến, một số ý kiến cho rằng mẫu xe xuất hiện trong video trình diễn có kiểu dáng giống Toyota, từ đó đặt nghi vấn Toyota và Lexus có thể liên quan. Tuy vậy, đến nay chưa có xác nhận chính thức.

Nhóm nghiên cứu cho biết đã báo cáo lỗ hổng cho các hãng từ đầu năm 2026. Chỉ khoảng 2 giờ sau khi tiếp nhận báo cáo, hai công ty đã vá lỗi và cập nhật các thông tin xác thực liên quan. Kết quả nghiên cứu được công bố ngày 7/11/2026.

Vụ việc cho thấy rủi ro an ninh đối với xe kết nối không chỉ đến từ phần mềm trên xe, mà còn có thể bắt nguồn từ lỗi cấu hình ở các máy chủ xác thực bên ngoài. Dù vậy, hiện chưa có bằng chứng cho thấy lỗ hổng này đã bị lợi dụng cho mục đích phạm tội.