Un gruppo di hacker etici ha avuto accesso al portale FIA, accedendo a documenti riservati dei piloti, inclusi i passaporti
La Federazione ha confermato che un gruppo di hacker etici ha avuto temporaneamente accesso ai dati presenti nel portale per le licenze dei piloti, inclusi i dati del passaporto di Max Verstappen, ma che la violazione è stata risolta in collaborazione con gli stessi hacker.
L’incidente è avvenuto durante l’estate, quando un trio di hacker etici, Gal Nagli, Sam Curry e Ian Carroll, è riuscito a entrare nel portale di Driver Categorisation. Sebbene l’attacco avvenuto mesi fa, i tre hanno reso pubbliche le loro scoperte solo questa settimana sui social media.
Il gruppo, composto da appassionati di Formula 1, ha sottolineato di non avere avuto alcuna intenzione malevola. L’obiettivo era evidenziare le vulnerabilità della struttura della FIA e contribuire a rendere l’intero sistema più sicuro.
L’incidente ha coinvolto il sistema utilizzato dalla Federazione per gestire le classificazioni dei piloti. I piloti di F1 devono possedere una Super Licenza per correre, ma in altre categorie la classificazione in Oro, Argento o Bronzo è fondamentale. Attraverso il portale, la Federazione gestisce queste categorie e i piloti possono inviare richieste di modifica del proprio status.
Gli hacker hanno creato un profilo sul portale e tramite il codice Javascript, hanno scoperto che era possibile modificare la propria posizione. Il sistema prevedeva vari livelli di accesso: piloti, personale e amministratori.
Utilizzando una richiesta HTTP PUT, gli hacker hanno tentato di entrare nel sistema come amministratori e l’operazione ha funzionato. Dopo aver effettuato nuovamente l’accesso, si sono trovati davanti a un’interfaccia completamente diversa, che comprende la sezione per la gestione delle classificazioni dei piloti.
Per verificare la violazione, il gruppo ha tentato di accedere al profilo di un pilota e ha scoperto che questo mostrava l’hash della password, indirizzo e-mail, numero di telefono, dati del passaporto e persino corrispondenza interna tra la Federazione e il pilota relativa alla classificazione.
Tutti i piloti di Formula 1 risultavano presenti nel sistema e gli hacker hanno notato che era possibile accedere ai dati del passaporto di Verstappen. Tuttavia, hanno sottolineato di essersi fermati immediatamente e di non aver aperto o visualizzato alcun dato sensibile.
La risposta della Federazione
Dopo aver individuato la vulnerabilità il 3 giugno, gli hacker hanno contattato immediatamente la Federazione. L’organizzazione ha reagito prontamente, mettendo offline il sito lo stesso giorno e collaborando con i tre per trovare una soluzione permanente. Il 10 giugno, la Federazione ha confermato che la falla era stata corretta.
Questa settimana un portavoce della Federazione ha confermato l’incidente e diffuso una dichiarazione ufficiale: “La FIA è venuta a conoscenza di un incidente informatico che ha coinvolto il sito web di Driver Categorisation durante l’estate. Sono stati adottati immediatamente provvedimenti per mettere in sicurezza i dati dei piloti e la Federazione ha segnalato il problema alle autorità competenti per la protezione dei dati, in conformità con i propri obblighi. È stato inoltre notificato un piccolo numero di piloti interessati da questa violazione. Nessun’altra piattaforma digitale è stata coinvolta nell’incidente.”
“Abbiamo investito molto nella cybersecurity e nelle misure di protezione dei propri sistemi digitali. Sono stati implementati standard di sicurezza di livello mondiale per proteggere tutti i suoi stakeholder e viene applicata una politica di “security-by-design” in tutte le nuove iniziative digitali.”
