这个超火的黑客小工具，可以通过WiFi解锁特斯拉
内容提要
Flipper Zero设备可用于简单的钓鱼攻击，可能危及特斯拉账户并解锁和启动汽车。攻击利用了在将汽车与新手机关联时缺乏适当的身份验证安全性。攻击者可以部署一个名为“特斯拉访客”的WiFi网络，诱使受害者连接到一个假的特斯拉登录页面并窃取其凭据。一旦进入账户，攻击者可以追踪汽车的位置并在车主不知情的情况下添加一个新的“手机钥匙”。特斯拉已被告知此问题，但尚未回应。
延伸解读
攻击为何能绕过双因素认证
文章指出，钓鱼页面在窃取特斯拉账户凭据后，会进一步要求输入一次性密码。攻击者利用Flipper Zero实时获取这些信息，从而在一次性密码过期前登录账户，绕过双因素认证保护。这提醒我们，即使启用了双因素认证，如果用户在伪造页面上主动输入验证码，安全防线仍可能被突破。
添加手机钥匙的流程缺陷
根据文章，攻击者登录特斯拉账户后，可在距离车辆几米处添加新的“手机钥匙”，且无需解锁汽车或将手机放在车内。更关键的是，车主不会收到任何通知，车辆触摸屏也无警报。这一设计缺陷使得攻击者一旦获得账户权限，就能轻易控制车辆。
对车主的实际影响
文章提到，攻击者添加新手机钥匙后，可以解锁车辆、激活所有系统，甚至驾驶车辆离开，仿佛自己是车主。此外，攻击者还能实时跟踪车辆位置。这意味着一旦账户被钓鱼，车主不仅面临隐私泄露，还可能直接失去车辆控制权。
可行的防护建议
研究人员在报告中建议，特斯拉应在添加新手机钥匙时要求使用物理卡片钥匙进行认证，为流程增加一层安全验证。对于车主而言，在特斯拉推出修复措施前，应警惕名为“Tesla Guest”的陌生WiFi网络，避免在非官方页面输入账户凭据和一次性密码。
Q&A
Flipper Zero设备如何影响特斯拉账户安全？
Flipper Zero设备可以通过钓鱼攻击窃取特斯拉账户凭据，导致账户被篡改，甚至解锁和启动汽车。
攻击者是如何实施钓鱼攻击的？
攻击者部署名为“Tesla Guest”的WiFi网络，诱使受害者连接后显示虚假的特斯拉登录页面以窃取凭据。
特斯拉账户被攻击后会发生什么？
攻击者可以实时跟踪车辆位置，并添加新的“手机钥匙”，从而在车主不知情的情况下解锁和驾驶汽车。
特斯拉对此安全漏洞有何回应？
特斯拉已被告知此问题，但尚未对此作出回应，也未说明是否计划发布安全更新。
如何提高特斯拉账户的安全性？
建议在添加新手机钥匙时使用物理特斯拉卡片钥匙，以增加认证层，提升安全性。
哪些特斯拉应用程序版本易受此攻击影响？
该攻击适用于特斯拉应用程序版本4.30.6和11.1 2024.2.7。
