虽然使用智能手机应用程序而不是物理钥匙解锁车辆提供了极大的便利，但它也大大扩大了攻击面。
安全研究人员发现了一种方法，可以使用169美元的Flipper Zero设备欺骗特斯拉车主，让他们将汽车的控制权交给恶意的第三方，从而使车辆被解锁，甚至被开走。
研究者汤米Mysk和塔拉尔麦加朝圣Bakry Mysk公司已经设计出一种方法在特斯拉所有者交出他们的汽车的登录凭证:攻击者会用鳍状肢零和wi - fi发展局广播一个假的特斯拉客人wi - fi网络登录页面——“特斯拉的客人的名字是wi - fi网络服务中心,然后使用这些凭据登录到主人的帐户和创建新的虚拟“钥匙”的车。
用户在假登录页面上输入的所有信息——用户名、密码和双因素认证码——都会被捕获并显示在Flipper Zero上。
下面是该过程的演练。
此攻击还绕过了双因素身份验证，因为假的特斯拉客户Wi-Fi网络登录页面请求双因素身份验证代码，然后攻击者使用该代码访问帐户。这确实意味着黑客必须快速工作，并且能够请求并随后快速使用该代码来访问该帐户。
特斯拉提供给你的物理钥匙卡能保护你免受这次攻击吗?根据用户手册，应该是这样的，因为这张“钥匙卡用于‘验证’手机密钥，以便与Model 3配合使用，并添加或删除其他密钥。”但是，根据梅斯克的说法，情况并非如此。
迈斯克表示，它联系了特斯拉，要求对这一漏洞发表评论，并被告知该公司“已经调查并确定这是故意的行为”，这令人担忧。
迈斯克建议，特斯拉应该强制使用密钥卡在应用程序中创建新密钥，并且在创建新密钥时应通知车主。
虽然Mysk和Bakry在这里使用的是Flipper Zero，但还有很多其他工具可以用来进行这种攻击，比如Wi-Fi Pineapple或Wi-Fi Nugget。
ZDNET已经要求特斯拉对此发表评论，我们将更新这篇文章。
你如何保护自己免受这种类型的攻击?首先，不要惊慌。这种攻击不太可能广泛传播:攻击者需要离你的车辆很近，并实时登录你的特斯拉账户。
其次，请注意，你不需要输入双因素认证码就可以连接到特斯拉的访客Wi-Fi账户。如果有疑问，请避免免费Wi-Fi。
