Российские владельцы автомобилей Li Auto столкнулись с новой волной перехвата мастер-аккаунтов, через которые управляется значительная часть функций машины. После получения доступа злоумышленники меняют данные учётной записи, из-за чего настоящий владелец теряет возможность полноценно пользоваться фирменным приложением и отдельными электронными системами автомобиля.
Мастер-аккаунт Li Auto представляет собой основной цифровой профиль владельца. Через него можно открывать и закрывать автомобиль, запускать двигатель, управлять климатической системой и пользоваться другими функциями. После перехвата учётной записи на некоторых машинах могут отключаться экраны и становиться недоступной значительная часть возможностей, а отдельные автомобили могут отказаться запускаться обычным способом.
Один из пострадавших владельцев смог воспользоваться машиной только при помощи физического ключа. После выезда из подземного паркинга и появления подключения к интернету на экране автомобиля появилось сообщение на китайском языке с требованием повторной активации. Позднее с владельцем связались злоумышленники и потребовали деньги за возврат доступа.
Сейчас размер выкупа, по имеющейся информации, обычно составляет около 35–45 тыс. рублей. Сооснователь клуба владельцев Lixiang в России и СНГ Александр Рассказов сообщил как минимум о 20 известных случаях. При этом реальное число пострадавших может быть значительно больше, поскольку далеко не все владельцы сообщают о происшествиях публично.
Подобная схема уже использовалась летом 2025 года. Тогда за восстановление доступа злоумышленники могли требовать от 200 до 250 тыс. рублей. Ранее одним из способов дополнительной защиты считалась привязка мастер-аккаунта к китайскому номеру телефона, оформленному через сервис eSender на паспорт самого владельца. Однако теперь случаи перехвата фиксируются и у пользователей с действующими и своевременно оплаченными номерами.
Точный способ получения доступа к учётным записям пока не установлен. Рассматривается несколько возможных вариантов. Среди них — автоматизированный подбор паролей, компрометация данных владельцев в Китае, а также передача логинов, паролей и кодов подтверждения сторонним специалистам при русификации или перепрошивке автомобилей.
Не исключается и использование данных из утёкших баз. В частности, злоумышленники потенциально могут получать VIN автомобилей из страховых баз, после чего использовать эту информацию для поиска связанной с машиной учётной записи. Однако подтверждённой информации о конкретном техническом механизме атаки пока нет.
Официальный дистрибьютор Li Auto в России Sinomach Auto подтвердил проблему и сообщил, что совместно с производителем работает над дополнительной защитой аккаунтов и процедурой восстановления доступа для законных владельцев. Одним из решений должен стать постепенный отказ от привязки мастер-аккаунтов к китайским телефонным номерам.
Для автомобилей 2026 модельного года уже используется привязка к электронной почте. В дальнейшем аналогичный механизм планируют распространить и на машины, ввезённые в Россию по параллельному импорту. Конкретные сроки перехода пока не называются.
До появления нового механизма владельцам рекомендуют не передавать третьим лицам пароли, коды подтверждения и другие данные мастер-аккаунта, а также своевременно продлевать действие китайского номера, если к нему всё ещё привязан автомобиль. В случае потери доступа стоит обратиться в официальную поддержку Li Auto в России.
Платить злоумышленникам выкуп также не рекомендуется. Даже после перевода денег нет гарантии, что доступ действительно будет восстановлен или что учётная запись не попытаются перехватить повторно. Пострадавшим владельцам советуют зафиксировать переписку и другие сведения об инциденте и обратиться в правоохранительные органы.