– Джек, что у нас по наезду на 19-й улице? Что удалось выяснить?

– Да там ерунда какая-то. Судя по всему, водитель автомобиля не виноват. Ну не мог он отреагировать, когда этот сумасшедший на электроскутере выскочил на дорогу. Там расстояние было метра три. Даже если б он затормозил, остановить машину он просто не мог. Да и ехал он на зеленый. Есть масса свидетелей, да и его видеорегистратор это подтверждает. Водитель был трезвым, тест на наркотики отрицательный. А скутерист выскочил совершенно внезапно. Причем, судя по всему, он сам этого не ожидал.

– А скутер у нас?

– У нас. В лаборатории предположили, что он сам вдруг начал движение!

– Погоди, я ни черта не понимаю. Кто сам начал движение? Этот пацан на скутере?

– Нет! Сам скутер.

– А что, такое возможно?

– Ну не знаю. Давай пригласим наших спецов из департамента интеллектуальных преступлений. Ну не зря ж они деньги получают.

– Уговорил. Прикажи у скутера выставить охрану, завтра пригласим их сотрудника.

На следующее утро у ворот полицейского управления остановился автомобиль департамента интеллектуальных преступлений.

– Доброе утро, господа! Мы забираем ваш скутер на обследование.

Прошла неделя.

– Рита, что со скутером?

– Шеф, увы, как я и думала, это убийство. Электроскутеры данной модели уязвимы. Я думаю, что придется даже отзывать их по всей стране. Эксперт M из компании Z, занимающейся продажей эксплойтов, обнаружил, что брешь в безопасности позволяет атакующему удаленно управлять такими устройствами. В том числе тормозить или разгонять транспортное средство. По его словам, проблема кроется в способе аутентификации пользователей.

– Даже так? С ним можно поговорить подробнее?

– Шеф, я уже пригласила его к нам, чтобы провести экспертизу. Он пообещал завтра прийти вместе со своими выкладками и видео эксперимента.

Прошел еще день.

– Добрый день!

– Добрый день, Иоганн! Рита говорила, что я вам нужен?

– Да! А вы оказывается знакомы?

– Мы учились вместе и знакомы еще по университету.

– Можете пояснить подобнее, в чем тут дело?

– Легко. Пароли, необходимые для аутентификации в системе скутера, используются некорректно, поскольку проверяются только на стороне приложения. Сам скутер при этом не мониторит процесс аутентификации, что приводит к серьезному багу – все команды можно выполнить без необходимости вводить пароль.

– Вы выкладывали куда-то код приложения, эксплуатирующего уязвимость?

– Иоганн, разве я похож на идиота? Мы работали над приложением, демонстрирующим взлом, втроем. Я и двое моих подчиненных. Один из них сейчас в отпуске, но, насколько я знаю, из города он не уезжал.

– Понятно! Для всех ваших вы сегодня были на приеме у врача. Вот справка из больницы. Сами понимаете, что визит к нам лучше держать пока в секрете.

– Понимаю.

– Шеф, вас Карл приглашает в переговорную.

– Карл, что произошло?

– Шеф, смотрите, вот кадры с трех камер поблизости от места происшествия. А вот номера смартфонов, которые были в этот момент у места происшествия. А теперь смотрите. Видите, человек держит смартфон в руке и что-то делает на экране. И быстро уходит.

– Вы смогли его узнать?

– Да. Это сотрудник из компании Z – тот, о котором говорили, что он в отпуске.

– Передайте его имя в полицию и попросите привези к нам.

Через час дело о автомобильном наезде было закрыто. Это действительно было умышленное убийство.

Увы, это совсем не сказка. Электроскутеры Xiaomi M365 уязвимы – проблему безопасности в этих средствах передвижения обнаружил эксперт Рени Идан из компании Zimperium, занимающейся продажей эксплойтов. Брешь настолько серьезная, что может позволить атакующему удаленно управлять электроскутерами – внезапно тормозить или разгонять транспортное средство.