--- service: "Publicasta" schema_version: "1.0" article_id: 215 title: "My Eicher pokazuje, że bezpieczeństwo connected fleets zaczyna się od API" language: "pl" default_language: "en" canonical_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=pl" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=pl" api_url: "https://publicasta.com/api/public/v1/channels/cybersecurity/articles/my_eicher_fleet_api_security_2026_07_28?lang=pl" channel_url: "https://publicasta.com/api/public/v1/channels/cybersecurity" channel_articles: "https://publicasta.com/api/public/v1/channels/cybersecurity/articles" search_url: "https://publicasta.com/api/public/v1/search" documentation_url: "https://publicasta.com/api-docs#reading-publicasta" openapi_url: "https://publicasta.com/api-docs/openapi.json" published_at: "2026-07-28T06:42:11+00:00" updated_at: "2026-07-28T06:42:11+00:00" translations: - language: "ar" html_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=ar" markdown_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.md?lang=ar" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=ar" - language: "de" html_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=de" markdown_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.md?lang=de" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=de" - language: "en" html_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=en" markdown_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.md?lang=en" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=en" - language: "es" html_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=es" markdown_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.md?lang=es" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=es" - language: "fr" html_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=fr" markdown_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.md?lang=fr" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=fr" - language: "pl" html_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=pl" markdown_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.md?lang=pl" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=pl" - language: "ru" html_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=ru" markdown_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.md?lang=ru" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=ru" - language: "zh" html_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28?lang=zh" markdown_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.md?lang=zh" json_url: "https://publicasta.com/cybersecurity/my_eicher_fleet_api_security_2026_07_28.json?lang=zh" --- # My Eicher pokazuje, że bezpieczeństwo connected fleets zaczyna się od API > Opublikowany case fleet platform pokazuje ryzyka dla kont, GPS i dokumentów bez sensacyjnych tez o zdalnym sterowaniu ciężarówkami. Sprawy My Eicher nie warto opisywać jako zdalnego przejęcia ciężarówek, jeśli nie ma na to dowodów. Ważniejszy jest udokumentowany problem: według badacza zwykłe błędy API i identity mogły ujawnić konta, dane pojazdów, lokalizację GPS i dokumenty kierowców na dużą skalę. ![Dashboard API connected fleet z pojazdami, kontrolą uwierzytelniania i prywatnymi dokumentami](https://publicasta.com/storage/projects/9/pages/215/2026/07/fe74395f-45df-4f30-b05f-e1c6eb6e1097.webp) W connected fleets codziennym centrum sterowania bywa web dashboard: GPS tracking, lista pojazdów, dane kierowców, serwis, dokumenty, alerty i administracja kontami. Jeśli ten panel jest słaby, ryzyko dotyczy prywatności, operacji i zaufania klientów, nawet bez fizycznej kontroli nad pojazdem. Eaton Works opublikował analizę 27 lipca 2026. Według wpisu VE Commercial Vehicles, joint venture Volvo Group i Eicher Motors, utrzymuje My Eicher dla indyjskich klientów pojazdów komercyjnych. Oficjalna strona opisuje produkt jako fleet management i vehicle GPS tracking system. Timeline tonuje alarm. Badacz twierdzi, że zgłosił problem 3 listopada 2025, ponawiał kontakt 10 i 17 listopada, a 20 listopada główny dostęp do internal APIs przestał działać. Publiczny opis pojawił się dopiero później. Łańcuch błędów był typowy dla SaaS: exposed API path, odkrycie internal/admin routes, missing authentication i dostęp do records customers, users, persons, vehicles and documents. OTP flow pogorszył sytuację: post mówi, że OTP records można było wyszukiwać po mobile number, co umożliwiało account takeover. Liczby są duże, ale wymagają ostrożności. Wpis podaje API-derived counts: około 748k customers, 174k users, 186k persons, 676k vehicles i 76k documents. Obok tego są publiczne liczby z 2024: 275k vehicles i 115k customers. Różnica nie jest wyjaśniona. Najbardziej konkretny jest problem dokumentów. Badacz pisze o Aadhaar cards i driving licences w uploadach. To wystarczy do poważnego ryzyka prywatności: fraud, doxing, harassment i account recovery attacks. Account takeover nie oznacza zdalnego steering czy braking. Po przejęciu konta opisano vehicle lists, live GPS map, tracking details, telematics views i inne funkcje platformy. To samo w sobie jest istotnym ryzykiem operacyjnym. Hacker News szybko podchwycił temat; Firebase pokazywał 147 points i 49 comments. Dyskusja zadawała właściwe pytania: co znaczy “control”, czemu internal APIs były dostępne i czego klienci flot powinni wymagać od vendors. Operatorzy flot powinni traktować telematics dashboard jak critical SaaS: API inventory, tenant isolation, auth design, OTP policy, password reset controls, audit logs, incident notification i disclosure process. Dla developerów lekcja jest prosta. OTPs muszą być short-lived i nie mogą być pobierane masowo. Password reset flows wymagają authorization, notification i audit. Każdy backend endpoint musi egzekwować tenant authorization, nie tylko UI. Odpowiedź nie polega na strachu. Chodzi o dyscyplinę: authenticated APIs, short-lived secrets, tenant checks, monitoring masowego dostępu do dokumentów i GPS, tested incident response oraz jasną komunikację z klientami.