Kada baza podataka ugrozi fizičku bezbednost: Curenje podataka u sistemu Globalfleet.eu omogućilo daljinsku kontrolu nad vozilima

Izvori: Cybernews Research, VicOne Automotive Cybersecurity Report 2026, Upstream Security 2026, IC3/Georgia Tech CPSec

REZIME INCIDENTA (KEY TAKEAWAYS)

Platforma i kompanija: Globalfleet.eu, GPS platforma za praćenje i upravljanje flotama komercijalnih vozila koju je razvila francuska kompanija Avigeoloc.

Obim izloženih podataka: Otvorena, potpuno nezaštićena baza podataka veličine 136 GB dostupna javnom internetu bez ikakve autentičnosti ili lozinke.

Pogođeni subjekti: Blizu 3.600 komercijalnih vozila širom Evrope, 131 identifikovani vozač i 278 registrovanih korisnika/operatera platforme.

Kritična ranjivost: Sistem je omogućavao izvršavanje daljinskih komandi nad vozilima putem jednostavnog upisivanja zapisa u bazu podataka (command execution via database writes).

Fizičke i bezbednosne posledice: Bilo koji neovlašćeni pristup bazi omogućavao je napadačima daljinsko gašenje motora u vožnji, pokretanje motora, kao i otključavanje i zaključavanje vrata vozila.

Ostali kompromitovani podaci: GPS koordinate u realnom vremenu, istorija kretanja, lični podaci (PII), IMEI brojevi uređaja, ICCID serijski brojevi SIM kartica i korisničke lozinke heširane zastarelim MD5-Crypt algoritmom.

1. Uvod: Nestanak granice između sajber-prostora i fizičke bezbednosti

U eri ubrzane digitalizacije transportnog sektora i koncepta “softverski definisanih vozila” (Software-Defined Vehicles – SDV), granica između digitalnog sveta i fizičke bezbednosti na putevima praktično je nestala. Kada dođe do proboja u tradicionalnim IT sistemima, posledice se obično mere u ukradenim lozinkama ili finansijskim gubicima. Međutim, kada se sajber-propust dogodi u sistemima za telematiku i upravljanje flotama, ugroženi su direktno ljudski životi.

Istraživački tim portala Cybernews otkrio je nezaštićenu bazom podataka koja pripada platformi Globalfleet.eu – popularnom rešenju za praćenje i upravljanje vozilima koje je razvila francuska kompanija Avigeoloc. Analiza otkriva da ovo nije bio samo klasičan slučaj curenja poverljivih informacija, već kardinalni arhitektonski propust koji je napadačima mogao dati potpunu kontrolu nad fizičkim funkcijama hiljada vozila na evropskim putevima.

2. Detaljna struktura izloženih podataka

Istraživači su identifikovali nezaštićenu produkcionu bazu podataka ukupne veličine 136 GB. Baza je bila izložena javnom internetu bez ikakvog zida zaštite, Firewall filtera ili zahteva za unos korisničkog imena i lozinke.

Među izloženim podacima nalazile su se sledeće ključne kategorije:

Lični podaci (PII – Personally Identifiable Information):

Puna imena, e-mail adrese i brojevi telefona za 131 vozača i 278 operatera/administratora platforme.

Korisničke uloge, pristupna prava i interne beleške o organizaciji transportnih mreža.

Telemetrijski i geolokacijski podaci u realnom vremenu:

Precizne GPS koordinate vozila, trenutne brzine kretanja, istorijski dnevnici vožnje i rute kretanja.

Statusi paljenja (kontakta), nivoi goriva i dijagnostički statusi motora za blizu 3.600 vozila.

Kritični identifikatori hardvera i telemetrije:

Jedinstveni IMEI brojevi (International Mobile Equipment Identity) telematilskih uređaja ugrađenih u vozila.

ICCID serijski brojevi SIM kartica (Integrated Circuit Card Identifier) ugrađenih u M2M (Machine-to-Machine) modula.

IMSI brojevi (International Mobile Subscriber Identity) i pripadajući telefonski brojevi SIM kartica.

Kompromitovane pristupne lozinke:

Korisničke i administratorske lozinke koje su u bazi bile čuvane pomoću MD5-Crypt algoritma za heširanje – kriptografske metode koja se u savremenoj sajber-bezbednosti smatra potpuno prevaziđenom i izuzetno lakom za razbijanje (easily crackable).

3. Tehnička analiza ranjivosti: Izvršavanje komandi putem zapisa u bazi

Najzanimljiviji, ali ujedno i najopasniji aspekt ove ranjivosti leži u načinu na koji je platforma Globalfleet.eu projektovana. U profesionalno dizajniranim IoT i telematilskim sistemima, slanje komandi vozilu (poput otključavanja vrata ili gašenja motora) odvija se kroz strogo kontrolisane, autorizovane i kriptografski potpisane API servise uz višeslojnu verifikaciju prava pristupa.

U slučaju Globalfleet.eu, primenjen je najlošiji mogući obrazac arhitekture: izvršavanje komandi direktnim upisivanjem u bazu podataka (command execution via database writes).

Kako je funkcionalni mehanizam radio u praksi?

Telematilski uređaj ugrađen u vozilo povremeno bi komunicirao sa centralnom bazom podataka i proveravao radne tabele sa zadacima.

Ukoliko bi se u određenoj tabeli pojavio novi red (zapis) sa IMEI brojem tog vozila i određenim komandnim kodom, uređaj u vozilu bi tu komandu automatski izvršio.

S obzirom na to da je baza podataka bila potpuno nezaštićena i otvorena za pisanje, bilo koji anonimni korisnik sa interneta mogao je jednostavnom naredbom (npr. INSERT INTO commands…) da ubaci komandu u bazu.

Rezultat: Bez ikakvog razbijanja kompleksnih šifara ili probijanja zaštitnih mehanizama samog automobila, napadač je mogao poslati komandu za:

Gašenje motora (Engine Immobilization / Shutdown)

Pokretanje motora

Zaključavanje i otključavanje vrata

4. Procena rizika i potencijalne posledice

Fizička i operativna šteta koja je mogla nastati eksploatacijom ovog propusta razarajuća je po obimu i ozbiljnosti:

A) Ugrožavanje života i saobraćajne nesreće

Najstrašniji scenario uključuje daljinsko gašenje motora dok se vozilo kreće velikom brzinom na autoputu ili unutar prometne raskrsnice. Nagli gubitak pogona može izazvati lančane sudare, blokadu servo-upravljanja i servo-kočnica kod određenih tipova vozila, direktno ugrožavajući živote vozača i ostalih učesnika u saobraćaju.

B) Digitalno olakšana krađa tereta i vozila

Kriminalne grupe mogle su pratiti kretanje kamiona koji prevoze robu visoke vrednosti u realnom vremenu (koristeći izložene GPS podatke), sačekati da se vozilo zaustavi na odmorištu i potom daljinski otključati teretni prostor ili kabinu – bez potrebe za fizičkom provalom ili oštećenjem vozila.

C) Ciljani phishing i korporativna špijunaža

Posedovanje IMEI, ICCID i PII podataka omogućava napadačima da izvedu izuzetno precizne napade socijalnog inženjeringa (Spear Phishing). Pretvarajući se da su tehnička podrška telekom operatera ili proizvođača opreme, napadači su mogli dalje infiltrirati korporativne mreže transportnih kompanija.

5. Širi kontekst: Analiza industrijskih izveštaja i poređenje izvora

Da bismo razumeli puni obim ove pretnje, neophodno je posmatrati ovaj incident u sklopu širih trendova u automobilskoj sajber-bezbednosti.

VicOne 2026 Automotive Cybersecurity Report

Najnoviji izveštaj kompanije VicOne otkriva da su se sajber-incidenti koji se prelivaju sa eksternih cloud platformi na čitave organizacije i flote više nego utrostručili. Izveštaj ističe da 33% svih uočenih sajber-rizika u auto-industriji sada direktno utiče na sisteme okrenute vozaču i komandama vozila. Ekosistem pogođen “Overlap Erom” (preklapanjem starijih telematilskih rešenja i novih softverskih vozila) stvorio je ogromne rupe u upravljanju rizicima.

Upstream Security 2026 Global Automotive Cybersecurity Report

Prema izveštaju kompanije Upstream Security, čak 68% svih zabeleženih incidenata u smart mobility sektoru dovodi do curenja podataka i narušavanja privatnosti, dok 34% uzrokuje direktne operativne i poslovne prekide. Telematika i API backend servisi označeni su kao vodeći vektor napada preko kojih se lokalizovani propusti pretvaraju u sistemske pretnje na nivou cele flote.

Poređenje sa sličnim slučajevima u industriji

Ovaj propust ima jasne paralele sa istraživanjem koje su 2024. godine sproveli bezbednosni istraživači Sam Curry i njegov tim na vozila marke Kia. U tom slučaju, ranjivost u trgovačkom portalu omogućila je da se pomoću samo 4 HTTP zahteva i registarske tablice preuzme daljinska kontrola nad vozilom (otključavanje, paljenje, lociranje) u roku od 30 sekundi. Takođe, istraživanja sa univerziteta Georgia Tech (CPSec) pokazala su da moderne bežične konekcije u vozilima pružaju neprijateljima direktne ulazne tačke za kompromitovanje internih komunikacionih magistrala (CAN bus).

6. Preporučene mere zaštite i naučene lekcije

Da bi se sprečili ovakvi incidenti, kompanije koje razvijaju i koriste IoT/telematilska rešenja moraju primeniti stroge bezbednosne standarde:

Za provajdere telematike i softverske kuće:

Mrežna segmentacija i Zero Trust pristup: Baze podataka nikada, ni pod kojim uslovima, ne smeju biti javno dostupne na internetu. Priključivanje mora biti dozvoljeno isključivo putem privatnih VPN mreža i autorizovanih IP adresa.

Kriptografska autentičnost komandi: Ukinuti praksu izvršavanja komandi putem upisivanja u bazu. Komande se moraju slati preko bezbednih API interfejsa uz obostranu TLS autentičnost (mTLS) i digitalno potpisivanje svake poruke.

Savremena enkripcija lozinki: Izbačiti zastareli MD5-Crypt algoritam i preći na savremene kriptografske funkcije kao što su Argon2id ili bcrypt.

Implementacija industrijskih standarda: Implementirati smernice propisane standardima UN R155 (Cybersecurity Management System) i ISO/SAE 21434 (Road vehicles – Cybersecurity engineering).

Za operatore i vlasnike flotnih vozila:

Audit trećih strana (TPRM): Zahtevati od svih dobavljača telematike dokaze o redovno sprovedenim “penetration testing” ispitivanjima i sertifikate poput ISO 27001.

Onemogućavanje opasnih funkcija: Ukoliko operativni procesi to ne zahtevaju, tražiti od provajdera fizičko ili softversko onemogućavanje funkcije daljinskog gašenja motora.

Detekcija anomalija: Uvesti sisteme za praćenje koji mogu prepoznati i alarmirati neobične obrasce slanja komandi vozilima van radnog vremena.

7. Zaključak

Curenje podataka na platformi Globalfleet.eu nije samo još jedna priča o nepažljivo ostavljenoj bazi podataka. Ovo je školski primer kako loša softverska arhitektura i zanemarivanje osnova sajber-higijene u IoT sektoru mogu stvoriti direktnu opasnost po ljudske živote.

Kako transportna industrija nastavlja da se oslanja na autonomne funkcije, telematiku i cloud upravljanje, bezbednost podataka mora postati temeljni stub fizičke bezbednosti. Ignorisanje ovih principa više ne donosi samo novčane kazne regulatora, već direktno ugrožava bezbednost na putevima.