德国 19 岁骇客 David Colombo 发现，可以透过第三方开源软件中的一项漏洞，远距操控全球 25 辆特斯拉，包括关掉 Sentry Mode（哨兵模式）、开关车门或鸣笛，同时又注意到特斯拉数位车钥匙软件中存在漏洞，能够获得这些车主的电子信箱。
Colombo 表示，该漏洞存在于特斯拉一个应用程序界面（API），主要是在免费软件 TeslaMate 中发现这个漏洞，做为自托管形式的网络仪表板，许多特斯拉车主用来连接车载系统，通常在车主的家用电脑上运行，并透过特斯拉 API 来访问与车主账户相关的车载数据。
但由于网络仪表板中的一个安全漏洞，允许骇客访问和使用一些用户从未修改过的默认密码、再加上车主的错误配置，导致数百个 TeslaMate 仪表板资讯直接暴露于网络上，包括特斯拉去过的地方、充电地点、目前位置、行驶速度等，其中还有没加密的 API 金钥。
▲ 特斯拉 Model Y 在加州行驶。（Source：David Colombo 部落格）
▲ 特斯拉在欧洲开车。（Source：David Colombo 部落格）
Colombo 发现后，在发现第一项漏洞后决定通知车主这件事情，其中一位 Twitter 网友建议，可以从两个软件相互通讯的代码中找到受害车主的详细联络方式，这个方法被称之为端点“Endpoint”，也就是 API 特定接口的位址。因此他透过这方法找到车主的电子信箱，通知他们有危险。
随后 Colombo 再将这些漏洞分享给特斯拉，目前特斯拉工程师已经编写修复程式，该漏洞无法再被公开利用。
Colombo 接受采访时指称，受影响的汽车数量可能更高，遍布英美、欧洲、中国、加拿大等市场，还能够看出车主的旅行路线。而特斯拉没有对此多做回应。
- How I got access to 25+ Tesla’s around the world. By accident. And curiosity.
- Teen Tesla Hacker Accessed Owners’ Email Addresses to Warn Them
（首图来源：shutterstock）
