Highlight:
CERT-In ने Tata Motors के दो कनेक्टेड-कार ऐप्स में चार सुरक्षा खामियों देखी है।
पहली ऐप में API Keys, लॉगिन क्रेडेंशियल को बैकएंड सर्विस में ले जाया जा रहा था।
दूसरी WebView के URL और सोर्स की जांच में हमलावर ऑथेंटिकेशन टोकन दिखे
तीसरी ऐप के लॉग में ऑथेंटिकेशन टोकन दर्ज होने से जुड़ी है।
चौथी SSL Certificate Pinning के सही तरीके से लागू न होने की थी
Tata Connected Car Safety: कनेक्टेड कार में स्मार्टफोन से गाड़ी की लोकेशन, हेल्थ और कई दूसरे फीचर्स कंट्रोल करना आसान हो गया है। लेकिन अगर कार से जुड़ा मोबाइल ऐप ही सुरक्षित न हो तो आपकी निजी जानकारी और डिजिटल सेवाओं पर खतरा पैदा हो सकता है। साथ ही भारत की सरकारी साइबर सुरक्षा एजेंसी CERT-In ने Tata Motors के दो कनेक्टेड-कार ऐप्स में चार सुरक्षा खामियों को लेकर चेतावनी जारी की है। एजेंसी ने इन्हें High गंभीरता वाली खामियां बताया है। लेकिन ये खामियां कार के हार्डवेयर में नहीं बल्कि मोबाइल ऐप्स में मिली हैं।
CERT-In की 4 नवंबर 2026 की एडवाइजरी के मुताबिक Tata Motors iRA 2.0 के वर्जन 26.7.3 और उससे पुराने वर्जन प्रभावित हैं। वहीं iRA.ev के 26.7.2 और उससे पुराने वर्जन में भी ये खामियां मौजूद हैं। iRA 2.0 पेट्रोल-डीजल कारों और iRA.ev इलेक्ट्रिक कारों के लिए कनेक्टेड-कार ऐप हैं। इनके जरिए गाड़ी की स्थिति, हेल्थ, ट्रिप की जानकारी और कुछ रिमोट कमांड इस्तेमाल किए जा सकते हैं।
एजेंसी ने चार तरह की सुरक्षा खामियों की पहचान की है। जिसमें पहली ऐप में कुछ जरूरी डिजिटल जानकारियां जैसे API Keys और लॉगिन क्रेडेंशियल मौजूद थे जिन्हें निकालकर बैकएंड सर्विस तक पहुंचने की कोशिश की जा सकती थी।
दूसरी खामी WebView से जुड़ी है। यह फीचर ऐप के अंदर वेब पेज दिखाता है। इसमें वेब पेज के URL और सोर्स की जांच पर्याप्त मजबूत नहीं थी जिससे हमलावर ऑथेंटिकेशन टोकन हासिल कर यूजर की पहचान अपना सकता था।
तीसरी खामी ऐप के लॉग में ऑथेंटिकेशन टोकन दर्ज होने से जुड़ी है।
चौथी SSL Certificate Pinning के सही तरीके से लागू न होने की थी।
यह तकनीक ऐप और सर्वर के बीच सुरक्षित कनेक्शन सुनिश्चित करने में मदद करती है। इन कमजोरियों से संवेदनशील जानकारी और वाहन से जुड़ी सेवाओं तक अनधिकृत पहुंच का जोखिम था।
CERT-In ने यूजर की पहचान बनाकर वाहन से जुड़ी जानकारी और सेवाओं तक अनधिकृत पहुंच की आशंका जताई है। लेकिन एडवाइजरी में यह पुष्टि नहीं की गई कि किसी हैकर ने कार का कंट्रोल हासिल किया है उसे दूर से चलाया है या किसी ग्राहक का डेटा चोरी किया है। इसलिए इसे कार हैक होने की पक्की घटना समझना सही नहीं होगा।
CERT-In ने iRA 2.0 को 26.8.2 और iRA.ev को 26.9.1 वर्जन पर अपडेट करने की सलाह दी है। अपडेट के लिए Google Play Store या Apple App Store पर मौजूद आधिकारिक ऐप का इस्तेमाल करें। वहीं ध्यान देने वाली बात है कि Tata Motors के एक प्रवक्ता ने PTI को बताया कि इन खामियों को सॉफ्टवेयर अपडेट और सुरक्षा उपायों के जरिए ठीक किया गया है।
कंपनी ने इसको लेकर बताया है कि अपडेट अगस्त और सितंबर में जारी किए गए थे और सभी सक्रिय यूजर्स के लिए रोलआउट पूरा हो चुका है। कंपनी ने ग्राहक डेटा या क्रेडेंशियल से छेड़छाड़ का कोई सबूत मिलने से भी इनकार किया है। फिर भी अपने फोन में ऐप का वर्जन जरूर जांच लें।