Кража аккаунтов Li Auto в России получила новую волну: известно как минимум о 20 пострадавших владельцах кроссоверов. После захвата мастер-аккаунта злоумышленники могут фактически превратить дорогой автомобиль в цифровой заложник — отключить часть функций, заблокировать запуск и потребовать выкуп. По данным vc.ru, теперь под удар попали даже учётные записи, привязанные к оплаченным китайским виртуальным номерам.
Для IT-рынка это не очередная история о забытом пароле. Мастер-аккаунт Li Auto работает как ключевой слой доступа к автомобилю: через него завязаны сервисы машины и управление рядом функций. Случай хорошо показывает, что подключённый автомобиль давно стал не просто транспортом с экраном в салоне, а устройством, где ошибка в модели идентификации может иметь вполне физические последствия.
О новой серии взломов рассказал сооснователь клуба владельцев Li Auto в России и СНГ Александр Рассказов. По его словам, пока речь идёт примерно о 20 владельцах. Официальный дистрибьютор Li Auto в России Sinomach Auto подтвердил Autonews факт компрометации учётных записей.
Один из владельцев рассказал, что после захвата аккаунта не смог штатно запустить автомобиль: экраны в салоне не работали, доступ к системам оказался ограничен. Физический ключ позволил начать поездку, но автомобиль потребовал повторно авторизоваться в аккаунте. Затем с владельцем связался злоумышленник и предложил вернуть мастер-аккаунт за 45 тысяч рублей. Водитель обратился в полицию.
Набор последствий зависит от конкретной ситуации, но владельцы сообщают о потере доступа к климат-контролю, дисплеям и запуску двигателя. В обычном веб-сервисе угнанный аккаунт означает риск утечки данных или несанкционированных платежей. В случае с автомобилем к этому добавляется простой техники, необходимость искать альтернативный способ добраться до места и зависимость от удалённой процедуры восстановления доступа.
Защита через номер не выдержала второй попытки
Это не первая волна атак на российских владельцев Li Auto. Летом 2025 года сообщалось о взломе 47 профилей. Тогда преступники запрашивали в среднем около 250 тысяч рублей за возврат доступа. Одной из практических мер защиты считалось оформление виртуального номера через сервис eSender на собственный паспорт. Такие номера доступны для Китая, Гонконга, США, Великобритании и Польши и использовались в том числе для регистрации и обслуживания китайских учётных записей.
Нынешние случаи важны именно тем, что прежняя мера перестала быть достаточной: кража аккаунтов Li Auto затронула владельцев с уже оплаченными номерами eSender. Источник не раскрывает технический способ захвата профилей, поэтому приписывать атаки утечке конкретного сервиса или уязвимости производителя было бы преждевременно. Но сам результат очевиден: привязка к номеру телефона, даже подтверждённому паспортными данными, не стала надёжным доказательством владения автомобилем.
Это типичная проблема цифровой идентичности, только с очень дорогим конечным устройством. Номер телефона удобен для регистрации, восстановления доступа и поддержки пользователей, однако он остаётся внешним идентификатором, который может быть перевыпущен, перехвачен или скомпрометирован вместе с цепочкой связанных сервисов. Если этот идентификатор даёт доступ к критическим функциям автомобиля, одной проверки по SMS недостаточно — особенно на рынке, где владельцам приходится использовать инфраструктуру, изначально рассчитанную на другую страну.
Sinomach Auto заявила, что Li Auto работает над дополнительными механизмами защиты учётных записей, рассматривает другие способы верификации владельца и проводит миграцию аккаунтов с китайских телефонных номеров на адреса электронной почты. Сроков завершения работ компания не назвала. Переход на email сам по себе не гарантирует безопасность: почтовый ящик тоже может быть захвачен. Значение имеет вся схема — многофакторная аутентификация, защищённое восстановление доступа, уведомления о критических действиях и отдельный процесс для смены владельца машины.
Автомобиль как аккаунт с колёсами
Для производителей подключённых автомобилей это неприятный, но показательный кейс. В цифровых продуктах давно существует разделение ролей: пользователь, администратор, владелец организации, служба поддержки. В автомобиле мастер-аккаунт часто объединяет слишком много полномочий — от комфорта в салоне до права управлять ключевыми сервисами. Чем больше возможностей сосредоточено в одной учётной записи, тем болезненнее её компрометация и тем опаснее слабое восстановление доступа.
Российским импортёрам и сервисным партнёрам такие инциденты добавляют ещё одну задачу помимо поставок и обслуживания машин. Владельцу нужна понятная локальная процедура: куда обращаться при захвате аккаунта, как подтвердить права на автомобиль, можно ли безопасно продолжить поездку физическим ключом и какие функции должны быть доступны без облачной авторизации. Пока ответы на эти вопросы зависят от конкретного случая, мошенники получают преимущество за счёт скорости и растерянности пострадавшего.
История Li Auto ставит вопрос шире одного бренда: кто и как должен подтверждать право на управление устройством, если устройство стоит миллионы рублей и способно перестать нормально работать из-за удалённого входа в аккаунт. Миграция с номера телефона на почту может закрыть часть текущих сценариев, но владельцам и рынку нужна более зрелая модель цифрового ключа — с несколькими независимыми способами восстановления и без возможности превратить машину в инструмент вымогательства одним захваченным профилем.
