Владельцы Li Auto в России столкнулись с потерей доступа к мастер-аккаунтам — учётным записям, привязанным к VIN-номеру машины. Через такой аккаунт можно удалённо управлять системами автомобиля, использовать смартфон вместо ключа и выдавать права другим пользователям. Первые подобные случаи зафиксировали 28 октября: сразу несколько человек сообщили в профильных чатах, что не могут войти в фирменное приложение, а мультимедийная система машины сбросилась — на центральном экране появился QR-код первичной настройки. Автомобили при этом заводятся и основные функции работают, но возможности медиасистемы серьёзно ограничены.
По мнению владельцев, корень проблемы — сервис eSender, через который создают виртуальный китайский номер для приёма SMS и звонков. Такая SIM-карта нужна для привязки мастер-аккаунта у машин Li, ввезённых в Россию по каналам альтернативного импорта. Часть пользователей заметила, что перед потерей доступа в их аккаунт eSender несколько раз пытались войти. В чатах предположили, что база данных сервиса с паролями оказалась в открытом доступе, и рекомендовали не переводить никому деньги и сменить режим доступа к виртуальной SIM.
Злоумышленники при этом сами выходят на связь с владельцами: присылают запись экрана смартфона, где видно, что в приложении Li Auto у них открыт автомобиль с VIN-номером адресата, и предлагают вернуть доступ за несколько десятков тысяч рублей. Мгновенно управлять машиной после взлома они всё же не могут — для завершения первичной настройки нужно отсканировать QR-код с центрального экрана, поэтому мошенники просят прислать фото монитора. Соглашаться на это нельзя: в таком случае посторонние действительно получат удалённое управление.
Китайская служба поддержки Li Auto поначалу отвечала владельцам, что их автомобили уже зарегистрированы на других людей, и советовала обращаться к дилерам. В разговоре с одним из владельцев оператор уточнил, что услуга переоформления подержанных машин действует для Казахстана и Узбекистана — вероятно, этим каналом и воспользовались мошенники.
Вечером 2 ноября официальный дистрибьютор Li Auto в России опубликовал заявление. В компании назвали решение проблемы приоритетной задачей: специалисты работают над процедурой подтверждения принадлежности мастер-аккаунтов законным владельцам и безопасного восстановления доступа. Пострадавшим рекомендовали не платить мошенникам, обращаться за поддержкой к дилеру или в службу клиентской поддержки и не передавать пароли и коды подтверждения третьим лицам.
Дистрибьютор также сообщил, что Li Auto разрабатывает новый способ авторизации, при котором китайский номер телефона не понадобится. Он будет доступен всем владельцам машин бренда, включая автомобили 2023 и 2024 модельных годов, независимо от того, куплены они у официального дилера или ввезены параллельным импортом. Официально представленный в России новый Li Auto L9 первым получил возможность регистрации мастер-аккаунта по электронной почте.