Dvi savaitės. Vienas kibernetikos ekspertas. Ir nė vieno slaptažodžio, kurį reikėtų laužyti. Tiek užteko, kad BYD Shark 6 saugumo spraga atskleistų, kaip lengvai galima perimti pikapo valdymą – žibintus, valytuvus, garsiakalbius ir, svarbiausia, mikrofoną salone. Tyrimą užsakė transliuotojas ABC televizijos programai „Four Corners“, o rezultatai pribloškė net pačius tyrėjus. „Buvo lengviau, nei tikėjomės“, – po testo pripažino ekspertas Danas Hreszczukas.
Dvi savaitės prieigos – be jokio slaptažodžio
„Fortify Labs“ įkūrėjas automobilį gavo dviem savaitėms – standartinėmis sąlygomis, be jokios specialios gamintojo pagalbos. Per tą laiką jis rado prieigos tašką, kuris apskritai neprašė autentifikacijos. Nereikėjo nei slaptažodžio, nei kodo, nei fizinio kontakto su automobiliu.
Demonstracijos metu, Shark 6 važiuojant apie 30 km/val greičiu, ekspertas nuotoliniu būdu įjungė valytuvus visu greičiu, paleido stiklo apiplovimo skystį, valdė garsiakalbius ir žybsėjo žibintais – vairuotojui net nepalietus jokio mygtuko. Stabdžiai ir kameros, priešingai, pasirodė apsaugoti gerokai geriau – prie jų prieiti nepavyko.
Mikrofonas, kuris girdėjo viską
Rimčiausia dalis – ne valytuvai, o mikrofonas. Per jį buvo galima klausytis pokalbių salone realiu laiku. Vėliau įrašytas garsas panaudotas nuotoliniu būdu suaktyvinti „Siri“ komandą telefone, paliktame automobilio viduje – tai reiškia, kad prieiga prie garso sistemos atveria kelią ir prie kitų vartotojo įrenginių. Ir tai – dar ne viskas.
Ar automobilis, pirktas kaip transporto priemonė, gali virsti pasiklausymo įrenginiu? Šis testas rodo – gali, ir tam nereikia nei šnipinėjimo agentūros, nei sudėtingos įrangos.
Kaip tai liečia Lietuvą ir ES
BYD per pastaruosius metus tapo viena sparčiausiai Europoje populiarėjančių markių, o tokie modeliai su ta pačia junginėto ryšio architektūra parduodami ir Lietuvoje. Australijos atvejis liečia ne tik vieną pikapą kitame žemyne – jis liečia programinę įrangą, kuri gali slypėti ir automobilyje, stovinčiame kaimynystėje.
Lenkijos kariuomenė į panašias rizikas sureagavo dar vasarį – savo teritorijose uždraudė Kinijos gamybos automobiliuose įrašinėti vietą, vaizdą ir garsą, taip pat jungti tarnybinius telefonus prie tokių transporto priemonių sistemų. Kitos ES šalys, tarp jų ir Lietuva, formalaus draudimo kol kas nepriėmė.
Popieriuje situacija atrodo tvarkinga: nuo 2024 m. liepos kiekvienas naujas ES parduodamas automobilis privalo atitikti JT reglamentą R155 dėl kibernetinio saugumo valdymo sistemos, o nuo 2026 m. planuojama, kad kiekvienas naujas modelis turės ir atskirą kibernetinio saugumo sertifikatą. Bet ar sertifikatas popieriuje automatiškai reiškia saugų automobilį kelyje? Australijos atvejis rodo, kad tarp reglamento ir realybės gali likti nemažas atotrūkis. Seime ar Briuselyje diskutuoja apie reglamentus. Servisuose ir gatvėse – automobiliai su tomis pačiomis sistemomis jau važinėja.
BYD atsakymas: „neįtikinamas įrodymas“
BYD oficialiai sutiko, kad įrašai nepateikia neginčijamo įrodymo, jog nuotolinė ataka įmanoma be fizinės prieigos prie automobilio. Bendrovės atstovas teigė, kad BYD atlieka savo imituojamus kibernetinių atakų testus, o dabartinė multimedijos sistema neleidžia diegti trečiųjų šalių programų – tai, anot gamintojo, sumažina pažeidžiamumų riziką. Detalų atsakymą BYD pažadėjo pateikti tik baigus vidinį tyrimą.
Kol laukiama to atsakymo, elementarus atsargumas nekainuoja nieko: neaktyvuoti balso asistento funkcijų, kai jų nenaudojate, sekti programinės įrangos atnaujinimus ir vengti automobilyje vesti pokalbių, kurių nenorėtumėte matyti niekur kitur. Australijos saugumo tarnybos jau perspėjo ministrus nevesti konfidencialių pokalbių tokiuose automobiliuose. Du ministrai – vienas su BYD Shark 6, kitas su Xpeng G6 – šį patarimą jau gavo asmeniškai.
Redakcijos vertinimu, kol Europos Sąjunga nenustatys realios, o ne tik popierinės junginėtų automobilių saugumo patikros, panašūs atradimai kartosis – tik kitoje šalyje ir su kitu gamintoju. O iki tol vienintelis patikimas patarimas vairuotojams – rimtą pokalbį automobilyje palikti rimtam pokalbiui be mikrofono.
