Оба приложения использовали платформу ForgeRock, принадлежащую Ping Identity. На серверах исследователи обнаружили административную консоль Apache Felix, которая осталась доступной с заводским паролем. Получив доступ к серверу идентификации, исследователи смогли запускать собственные команды, обращаться к базе клиентских записей, менять адреса электронной почты и пароли пользователей, а затем получать полноценные токены авторизации. Эти токены открывали доступ к функциям подключённых автомобилей. В рамках контролируемого тестирования исследователи смогли разблокировать двери и запустить двигатель тестового автомобиля.

Полную цепочку исследователи проверяли в феврале 2026 года (только на собственных автомобилях и на машинах согласившихся владельцев в США). Когда они сообщили о проблеме, обе системы исправили примерно за два часа.