Российские владельцы кроссоверов Li Auto обнаружили, что их автомобили могут фактически захватить дистанционно. Мошенники взламывают мастер-аккаунты машин, получают контроль над их настройками и требуют деньги за возвращение доступа. После атаки у некоторых автомобилей гаснут экраны, перестают работать климат-контроль и другие функции, а иногда машину не удаётся даже запустить. О массовой проблеме сообщил Autonews.ru со ссылкой на владельцев и официального дистрибьютора марки в России — Sinomach Auto.
По словам сооснователя клуба владельцев Lixiang в России и странах СНГ Александра Рассказова, известно как минимум о 20 пострадавших, но реальное число жертв может быть значительно выше. Предположительно, злоумышленники находят владельцев по VIN через утёкшие страховые базы, а затем перехватывают привязанные к автомобилям аккаунты. После этого они связываются с автомобилистами и предлагают вернуть доступ за деньги.
Мастер-аккаунт Li Auto фактически служит цифровым ключом от автомобиля. Через него владелец управляет фирменным приложением, может открывать и закрывать замки, включать климат-контроль, запускать двигатель и пользоваться интеллектуальными функциями машины. Потеря доступа к этой учётной записи способна серьёзно ограничить использование автомобиля.
По словам Рассказова, точный способ взлома пока не установлен. Среди возможных вариантов — подбор паролей, кража пользовательских данных в Китае и добровольная передача логинов и кодов подтверждения сторонним специалистам, которые занимаются русификацией, настройкой приложений и перепрошивкой автомобилей.
В Sinomach Auto подтвердили наличие проблемы и сообщили, что китайские специалисты совместно с российским дистрибутором разрабатывают механизмы защиты учётных записей и восстановления доступа. Также планируется внедрить проверку законных владельцев и перенести авторизацию с китайских телефонных номеров на электронную почту. Подобная система уже используется в автомобилях Li Auto 2026 модельного года. Новые решения обещают распространить и на официально поставленные машины, и на ввезённые по параллельному импорту. Сроки внедрения пока не названы.
Владельцам рекомендуют проверить, что мастер-аккаунт привязан к номеру, оформленному на их паспорт, сменить пароль в eSender и не передавать посторонним SMS-коды и данные для входа. Если доступ к приложению внезапно пропал, следует зафиксировать происходящее скриншотами и обратиться в полицию. Рассказов советует не платить выкуп: его внесение не гарантирует возвращения доступа к автомобилю.
Пострадавшие описывают разные последствия взлома. У одного владельца Li Auto L7 во время выезда из паркинга погасла электронная приборная панель, а после перезагрузки появился QR-код для повторной активации. В приложении автомобиля уже не было. Другой водитель смог уехать только с физическим ключом: Bluetooth-ключ не работал, а после выезда из подземного паркинга на экране появилось сообщение о необходимости активации машины. Вскоре ему позвонил мошенник и потребовал 45 тыс. руб.
В некоторых случаях автомобиль продолжает работать, хотя злоумышленники уже изменили привязанный к аккаунту номер телефона или удалили из профиля данные владельца и машины.
Это не первый случай кражи мастер-аккаунтов Li Auto в России. Летом прошлого года владельцы уже сталкивались с подобным мошенничеством, однако тогда выкуп составлял 200–250 тыс. руб. Теперь злоумышленники требуют значительно меньше — 35–45 тыс. руб. По оценке Рассказова, схема стала массовой: вместо крупных сумм с отдельных жертв мошенники могут рассчитывать на поток небольших выплат.
