Sprawy My Eicher nie warto opisywać jako zdalnego przejęcia ciężarówek, jeśli nie ma na to dowodów. Ważniejszy jest udokumentowany problem: według badacza zwykłe błędy API i identity mogły ujawnić konta, dane pojazdów, lokalizację GPS i dokumenty kierowców na dużą skalę.

Dashboard API connected fleet z pojazdami, kontrolą uwierzytelniania i prywatnymi dokumentami

W connected fleets codziennym centrum sterowania bywa web dashboard: GPS tracking, lista pojazdów, dane kierowców, serwis, dokumenty, alerty i administracja kontami. Jeśli ten panel jest słaby, ryzyko dotyczy prywatności, operacji i zaufania klientów, nawet bez fizycznej kontroli nad pojazdem.

Eaton Works opublikował analizę 27 lipca 2026. Według wpisu VE Commercial Vehicles, joint venture Volvo Group i Eicher Motors, utrzymuje My Eicher dla indyjskich klientów pojazdów komercyjnych. Oficjalna strona opisuje produkt jako fleet management i vehicle GPS tracking system.

Timeline tonuje alarm. Badacz twierdzi, że zgłosił problem 3 listopada 2025, ponawiał kontakt 10 i 17 listopada, a 20 listopada główny dostęp do internal APIs przestał działać. Publiczny opis pojawił się dopiero później.

Łańcuch błędów był typowy dla SaaS: exposed API path, odkrycie internal/admin routes, missing authentication i dostęp do records customers, users, persons, vehicles and documents. OTP flow pogorszył sytuację: post mówi, że OTP records można było wyszukiwać po mobile number, co umożliwiało account takeover.

Liczby są duże, ale wymagają ostrożności. Wpis podaje API-derived counts: około 748k customers, 174k users, 186k persons, 676k vehicles i 76k documents. Obok tego są publiczne liczby z 2024: 275k vehicles i 115k customers. Różnica nie jest wyjaśniona.

Najbardziej konkretny jest problem dokumentów. Badacz pisze o Aadhaar cards i driving licences w uploadach. To wystarczy do poważnego ryzyka prywatności: fraud, doxing, harassment i account recovery attacks.

Account takeover nie oznacza zdalnego steering czy braking. Po przejęciu konta opisano vehicle lists, live GPS map, tracking details, telematics views i inne funkcje platformy. To samo w sobie jest istotnym ryzykiem operacyjnym.

Hacker News szybko podchwycił temat; Firebase pokazywał 147 points i 49 comments. Dyskusja zadawała właściwe pytania: co znaczy “control”, czemu internal APIs były dostępne i czego klienci flot powinni wymagać od vendors.

Operatorzy flot powinni traktować telematics dashboard jak critical SaaS: API inventory, tenant isolation, auth design, OTP policy, password reset controls, audit logs, incident notification i disclosure process.

Dla developerów lekcja jest prosta. OTPs muszą być short-lived i nie mogą być pobierane masowo. Password reset flows wymagają authorization, notification i audit. Każdy backend endpoint musi egzekwować tenant authorization, nie tylko UI.

Odpowiedź nie polega na strachu. Chodzi o dyscyplinę: authenticated APIs, short-lived secrets, tenant checks, monitoring masowego dostępu do dokumentów i GPS, tested incident response oraz jasną komunikację z klientami.