Tata Motors App Security: Tata Motorsની કારનો ઉપયોગ કરતા ગ્રાહકો માટે સાયબર સુરક્ષા સાથે જોડાયેલી એક મહત્ત્વપૂર્ણ ચેતવણી સામે આવી છે. ભારતીય સાયબર સુરક્ષા એજન્સી CERT-Inએ કંપનીની iRA 2.0 અને iRA.ev મોબાઇલ એપમાં અનેક સુરક્ષા ખામીઓ હોવાની માહિતી આપી છે. આ ખામીઓનો લાભ લઈને હુમલાખોરો વપરાશકર્તાઓની સંવેદનશીલ વિગતો મેળવી શકે છે અને તેમની ઓળખનો ખોટો ઉપયોગ કરીને કાર સાથે જોડાયેલી માહિતી તથા કનેક્ટેડ સર્વિસ સુધી અનધિકૃત પહોંચ મેળવી શકે છે. CERT-Inએ આ ખામીઓને High Severity શ્રેણીમાં રાખી છે. એજન્સીએ અસરગ્રસ્ત એપનો ઉપયોગ કરતા ગ્રાહકોને શક્ય તેટલી વહેલી તકે તેને નવીનતમ વર્ઝન પર અપડેટ કરવાની સલાહ આપી છે.
Tata Motorsની કઈ એપમાં મળી સુરક્ષાની ખામીઓ?
CERT-Inએ 4 નવેમ્બરે જાહેર કરેલી પોતાની Vulnerability Note CIVN-2026-0537માં Tata Motorsની iRA 2.0 અને iRA.ev એપમાં અનેક સુરક્ષા ખામીઓની માહિતી આપી છે. એજન્સી અનુસાર, iRA 2.0ના 26.7.3 અને તેનાથી જૂના વર્ઝન અસરગ્રસ્ત છે. જ્યારે iRA.evના 26.7.2 અને તેનાથી જૂના વર્ઝનમાં પણ આ ખામીઓ હાજર છે.
આ બંને એપ Tata Motorsની કનેક્ટેડ કાર સર્વિસનો ભાગ છે. iRA 2.0 કંપનીની પેટ્રોલ-ડીઝલ એટલે કે ICE કારના ગ્રાહકો માટે છે, જ્યારે iRA.ev ઇલેક્ટ્રિક કાર માટે ઉપલબ્ધ છે. તેના દ્વારા વપરાશકર્તાઓ કારનું સ્ટેટસ, હેલ્થ મોનિટરિંગ, ટ્રિપની માહિતી અને રિમોટ વ્હીકલ કમાન્ડ જેવી સુવિધાઓનો ઉપયોગ કરી શકે છે. આવી સ્થિતિમાં આ એપમાં રહેલી સુરક્ષા ખામીઓ વપરાશકર્તાઓની પ્રાઇવસી અને કનેક્ટેડ કાર સર્વિસની સુરક્ષાની દૃષ્ટિએ મહત્ત્વપૂર્ણ છે.
Tata Motorsની એપમાં કેવા પ્રકારની સુરક્ષા ખામીઓ છે?
CERT-Inએ આ એપમાં કુલ ચાર પ્રકારની સુરક્ષા ખામીઓ (Vulnerabilities) ઓળખી છે. પ્રથમ ખામી Hardcoded Credentials સાથે જોડાયેલી છે. તેમાં એપની અંદર જ Service Account Credentials, API Keys અને Authorization Tokens હાજર હતાં. કોઈ હુમલાખોર એપ પેકેજ ડાઉનલોડ કરીને આ માહિતી મેળવી શકે છે અને સંબંધિત બેકએન્ડ સર્વિસ સુધી અનધિકૃત પહોંચ મેળવવાનો પ્રયાસ કરી શકે છે.
બીજી ખામી એપના WebView Componentમાં URL અને Originની યોગ્ય તપાસ ન થવા સાથે જોડાયેલી છે. તેના દ્વારા હુમલાખોર એપમાં દૂષિત વેબ કન્ટેન્ટ મોકલીને લાઇવ ઓથેન્ટિકેશન ટોકન્સ મેળવી શકે છે. આ ટોકન્સનો ઉપયોગ કરીને તે અસલી વપરાશકર્તાની ઓળખ ધારણ કરી શકે છે અને તેની સાથે જોડાયેલી કારની માહિતી તથા સર્વિસ સુધી પહોંચ મેળવવાનો પ્રયાસ કરી શકે છે.
ત્રીજી ખામી Information Disclosure સાથે જોડાયેલી છે. એપના ડેવલપમેન્ટ અને ડિબગિંગ Logsમાં ઓથેન્ટિકેશન ટોકન્સ રેકોર્ડ થઈ રહ્યાં હતાં. જો કોઈ હુમલાખોરને આ Logs સુધી પહોંચ મળી જાય, તો તે સેશન ટોકન્સનો ખોટો ઉપયોગ કરીને વપરાશકર્તાની ઓળખ ધારણ કરવાનો પ્રયાસ કરી શકે છે.
ચોથી ખામી SSL Certificate Pinningના ખોટા અમલીકરણ સાથે જોડાયેલી છે. તેના કારણે એપ અને તેના બેકએન્ડ સર્વર વચ્ચે થતા નેટવર્ક કમ્યુનિકેશનની સુરક્ષા નબળી પડી શકે છે. નેટવર્ક ટ્રાફિકને ઇન્ટરસેપ્ટ કરવાની સ્થિતિમાં હુમલાખોર એપ અને સર્વર વચ્ચે થતા ડેટા કમ્યુનિકેશનને જોઈ શકે છે અથવા તેમાં ફેરફાર કરી શકે છે.
Tata Motorsના ગ્રાહકોએ શું કરવું જોઈએ?
CERT-Inએ અસરગ્રસ્ત એપનો ઉપયોગ કરતા ગ્રાહકોને તેને નવીનતમ વર્ઝન પર અપડેટ કરવાની સલાહ આપી છે. એજન્સી અનુસાર, Tata Motors iRA 2.0ને વર્ઝન 26.8.2 અને iRA.evને વર્ઝન 26.9.1 પર અપડેટ કરવી જોઈએ. આ અપડેટમાં જણાવવામાં આવેલી સુરક્ષા ખામીઓ સુધારવામાં આવી છે. આવી સ્થિતિમાં જો તમે Tata Motorsની કાર સાથે iRA 2.0 અથવા iRA.ev એપનો ઉપયોગ કરો છો, તો તમારા ફોનમાં એપનું વર્ઝન ચોક્કસ તપાસો. જરૂર પડે ત્યારે Google Play Store અથવા Apple App Store પરથી ઉપલબ્ધ નવીનતમ અપડેટ ઇન્સ્ટોલ કરો.
