Noorse onderzoekers hebben aangetoond hoe ze via een kwaadaardige Android-app een auto van fabrikant Tesla kunnen stelen. Tesla heeft een eigen app om een auto te lokaliseren, de deuren te openen en de auto te besturen. Hiervoor wordt er een verzoek naar de servers van Tesla gestuurd.

Alle verzoeken moet van een token zijn voorzien. Dit token wordt verkregen door met een gebruikersnaam en wachtwoord in te loggen. De eerste keer dat gebruiker op de Tesla-app inlogt wordt het token verkregen en in platte tekst in de app-map opgeslagen. Het token wordt ook voor toekomstige verzoeken gebruikt en is 90 dagen geldig. Door het token te stelen kan een aanvaller dezelfde acties uitvoeren als de gebruiker, zoals het besturen van de auto zonder sleutel.

Om de gegevens te stelen die nodig zijn om met de Tesla weg te rijden ontwikkelden onderzoekers van het Noorse beveiligingsbedrijf Promon een kwaadaardige Android-app. Deze app verkrijgt rootrechten en vervangt de geïnstalleerde Tesla-app door een gemanipuleerde versie. De volgende keer dat de gebruiker de inmiddels gemanipuleerde Tesla-app start vraagt die om zijn gebruikersnaam en wachtwoord. De app stuurt de inloggegevens vervolgens terug naar de aanvallers die zo de auto kunnen lokaliseren en stelen. Om de aanval uit te voeren zijn er wel verschillende vereisten. Zo moet de gebruiker worden verleid tot het installeren van de kwaadaardige app en moet zijn toestel een kwetsbaarheid bevatten waardoor de kwaadaardige app rootrechten kan verkrijgen.