모든 사용자 및 차량에 대한 제어권을 획득하기 위한 Volvo/Eicher의 차량 관리 플랫폼 취약점 악용

핵심 사항 / 요약

• Volvo Group과 Eicher Motors의 합작 투자사인 VE Commercial Vehicles는 인도 상용차 고객을 위해 My Eicher라고 불리는 차량 관리 시스템을 구축하고 유지 관리합니다.
  “My Eicher는 상용차 소유자, 차량 관리자 및 운영자를 위해 설계된 완전한 차량 관리 및 차량 GPS 추적 시스템입니다. 당사의 고도로 발전된 텔레매틱스 (Telematics) 플랫폼을 통해 이전과는 전혀 다른 방식으로 차량단을 제어할 수 있습니다.”

• 인증되지 않은 숨겨진 내부/관리자 API (APIs)를 발견할 수 있게 하는 API 취약점이 발견되었습니다. 이러한 API는 시스템에 대한 높은 수준의 액세스 권한을 얻고 계정 탈취 (Account takeover)까지 가능하게 할 수 있습니다.

• 계정 탈취를 통해 수백 대의 차량으로 구성될 수 있는 개인(또는 기업)의 전체 차량단을 제어하는 것이 가능해졌습니다.

• 수치로 보는 노출된 데이터. 2024년 11월 기준으로 275,000대의 차량과 115,000명의 고객이 등록되어 있다고 발표되었습니다. API에서 추출된 일부 수치가 왜 이보다 훨씬 높은지는 불분명합니다.

• 748,000명의 고객

• 174,000명의 사용자

• 186,000명의 개인

• 676,000대의 차량

• 76,000개의 문서 (Aadhaar 카드, 운전 면허증 등)

저의 다음 블록버스터 자동차 해킹 사례에 오신 것을 환영합니다! 이번 건은 제가 Toyota 보험사 해킹을 공개했던 2024년 초로 거슬러 올라가는 뿌리를 가진, 오랫동안 준비해 온 작업입니다. 재미있는 사실은, 사실 그때 My Eicher의 취약점을 찾으려고 시도했었지만 성공하지 못했다는 점입니다. My Eicher를 완전히 뚫어버릴 수 있는 돌파구를 우연히 발견한 것은 그로부터 1년 이상이 지난 2025년이 되어서였습니다.

My Eicher

인도에 거주하고 있지 않다면, 아마 My Eicher에 대해 들어본 적이 없을 것입니다. 이는 상용차 (Commercial Vehicle) 고객이 트럭과 버스 함대 (Fleet)를 추적하고 관리할 수 있게 해주는 앱/웹사이트입니다. 차량 실시간 추적, 라이브 계기판 (Gauge Clusters) 보기, 지오펜스 (Geofences) 설정 등 다양한 기능을 사용할 수 있습니다. 웹사이트는 여기에 있으며, Android 및 iPhone 앱도 제공됩니다.

여기서 공개되는 취약점은 인도 내의 상용차 및 고객에게만 영향을 미칩니다.

운 좋은 돌파구

이 취약점은 믿기지 않을 정도로 단순했으며, 순전히 운 좋게 발견되었습니다. 웹사이트 홈페이지에서 사용자의 휴대폰 번호를 확인하는 데 사용되는 API는 다음과 같습니다: https://www.myeicher.in/cepauthmgr/user/validateMobileNo

웹사이트의 Javascript에는 이와 같은 다른 API가 많이 있습니다. 몇 가지 흥미로운 API들이 더 있었지만, 플랫폼 전체를 해킹하는 데 사용할 수 있는 것은 없었습니다. 그러던 어느 날, 무작위로 제 브라우저에서 이 엔드포인트 (Endpoint)로 접속해 보기로 했습니다: https://www.myeicher.in/cepauthmgr/user/

99%의 경우, API 경로를 거슬러 올라가면 HTTP 에러가 발생합니다. 하지만 이번에는 모든 사용자 관련 API의 방대한 목록이 드러났습니다:

전체 목록은 여기서 확인할 수 있습니다.

더욱 놀라운 점은, 이들이 인증되지 않은 상태 (Unauthenticated)였다는 것입니다! 저는 "customers" 엔드포인트를 찾아냈고, 거기서 74만 8천 명에 달하는 고객 목록을 발견했습니다:

"users"와 "persons" 엔드포인트도 있었습니다:

심지어 비밀번호까지 반환되었습니다. 다만 암호화되어 있었기 때문에 그대로 사용할 수는 없었습니다. 하지만 이것만으로도 엄청난 돌파구였습니다. 이제 이 시스템을 사용하는 사람들을 찾는 것이 더 이상 어렵지 않게 되었습니다. 이 API들을 통해 전체 계정 목록을 확보했기 때문입니다. 만약 어떤 종류의 로그인 취약점 (Login Exploit)이라도 있다면, 여기 있는 모든 사람에게는 게임 오버가 될 것입니다.

당신의 모든 OTP는 내 것입니다

저의 운은 계속해서 이어졌습니다. 2021년까지 거슬러 올라가는 250만 개의 OTP 전체 목록을 반환하는 API가 있었습니다:

특정 휴대폰 번호에 대한 OTP를 반환하는 더 구체적인 API들도 있었습니다:

상황이 어떻게 흘러갈지 아마 짐작이 가실 겁니다. 계정 탈취 (Account Takeover)를 위한 무대가 마련되었습니다!

1단계: 사용자 목록에서 휴대폰 번호를 하나 선택하여 OTP (One-Time Password)를 전송합니다. 저는 대형 엔지니어링 기업과 연결된 번호를 선택했습니다.

2단계: API를 사용하여 휴대폰 번호로 OTP를 찾습니다:

3단계: 이를 입력합니다. 이 기술을 통해 저는 모든 사용자 계정, 더 나아가 차량/차량 함대 (Fleets)에 대한 완전한 제어권을 얻을 수 있었습니다.

이 모든 과정의 부작용은 실제로 사용자에게 OTP를 전송함으로써 상대방에게 낌새를 채게 만든다는 점입니다. 따라서 불행히도 은밀한 계정 탈취 (Account Takeover)는 아닙니다. 하지만 두 번째 계정 탈취 방법이 있었습니다! 계정의 비밀번호를 업데이트하는 API가 존재하기 때문에, 비밀번호를 설정한 후 비밀번호를 사용하여 로그인할 수 있었습니다. 사용자는 통보를 받지 못할 것으로 추정되지만, 제가 100% 확신할 수는 없습니다.

탐색 (Exploring)

제가 어떤 것들에 접근할 수 있었는지 기록한 추가 스크린샷입니다.

이것은 차량 API (Vehicles API)의 응답입니다. 무려 676,000개나 있었습니다!

이것은 모든 차량을 추적할 수 있는 지도입니다:

다음은 특정 차량의 개별 추적 상세 정보입니다:

운전자가 보는 화면을 나타낸다는 실시간 차량 클러스터 (Live vehicle cluster)입니다:

여기에 다른 많은 기능들이 있습니다:

민감한 데이터 (Sensitive Data)

상황은 더 악화됩니다! 문서와 관련된 몇몇 API들이 있었는데, 이를 통해 사람들이 업로드한 76,000개의 문서와 이미지가 노출되었습니다. 여기에는 Aadhaar 카드나 운전면허증과 같은 매우 민감한 신분증 문서가 포함되어 있습니다.

타임라인 (Timeline)

저는 과거에 VECV에 취약점을 보고했던 사람을 찾아냈고, 그분으로부터 정보 보안 (Infosec) 이메일 주소를 받았습니다.

2025년 11월 3일: 보고됨.
2025년 11월 10일: 응답 없음, 후속 조치 진행.
2025년 11월 17일: 응답 없음, 후속 조치를 진행하며 스레드에 몇 명의 인원을 추가로 참조함.
2025년 11월 20일: 더 이상 내부 API에 접근할 수 없게 됨. 주요 취약점이 수정됨.
2026년 7월 27일: 공개됨

2025년 11월 이후, 저는 일반 고객 지원 라인을 포함하여 그들에게 전달하려고 시도했던 몇 가지 추가적인 우려 사항들이 있었습니다. 하지만 그곳의 누구와도 연락이 닿지 않았고, 제 우려 사항을 조사할 만큼 관심을 가진 사람도 찾을 수 없었습니다. 몇 달간 기다린 끝에, 저는 이러한 다른 우려 사항들에 대해서는 포기했습니다. 적어도 그들이 주요 취약점 (primary vulnerability)은 수정했다는 점은 다행입니다.