Austrālijas televīzijas izmeklēšanā kiberdrošības eksperts divu nedēļu laikā attālināti ieguva piekļuvi BYD Shark 6 sistēmām. Viņš varēja bloķēt durvis, vadīt tīrītājus un lukturus, kā arī klausīties salonā notiekošo.
Būtiskākais īsumā
- Piekļuve atrasta bez paroles – eksperts to nosauca par “atvērtām priekšējām durvīm”.
- Braukšanas laikā varēja izslēgt lukturus, ieslēgt tīrītājus un bloķēt vadītāju salonā.
- Kritiskās sistēmas (bremzes, stūre, kameras) netika sasniegtas.
Kas notika testā?
ABC programmas Four Corners vajadzībām kiberdrošības speciālists Dan Hreszczuk (Fortify Labs) saņēma BYD Shark 6 plug-in hibrīda pikapu uz divām nedēļām. Viņa uzdevums bija atrast, cik viegli iespējams iegūt attālinātu piekļuvi.
Hreszczuk atrada ieejas punktu, kas nebija aizsargāts ar paroli. Demonstrācijas laikā, kamēr žurnālists brauca ar ātrumu aptuveni 30 km/h, eksperts no klēpjdatora:
- bloķēja durvis ar vadītāju salonā;
- ieslēdza tīrītājus maksimālā režīmā un smidzinātāju;
- ieslēdza un izslēdza lukturus, tostarp pilnībā izslēdza tos braukšanas laikā;
- atskaņoja mūziku un mainīja saturu informatīvās izklaides ekrānā.
Privātuma risks
Vēl jutīgāka bija piekļuve salona mikrofoniem. Eksperts varēja klausīties un ierakstīt sarunas salonā, kā arī reāllaikā sekot auto atrašanās vietai.
Viņš ierakstīja žurnālista balsi, kas saka “Hey Siri”, un atskaņoja to caur auto skaļruņiem, kamēr salonā atradās atslēgts iPhone. Tādējādi tika iegūti personīgie dati – dzimšanas datums, telefona numurs un kontaktu saraksts, tostarp kāds Austrālijas politiķa numurs.
Vai BYD ir īpaši nedrošs?
Hreszczuk uzsvēra, ka bremzes un kameras bija labi aizsargātas un tām viņš netika klāt. Problēma skāra perifērās, ar tīklu savienotās funkcijas.
Līdzīgas ievainojamības un datu privātuma problēmas nav tikai ķīniešu zīmolu īpatnība. Mozilla 2023. gada pētījums norādīja uz vāju privātuma aizsardzību praktiski visos lielākajos autoražotājos. Agrāk publicēti arī gadījumi ar Tesla, Kia un Subaru sistēmām.
BYD Austrālijā ir paziņojis, ka veic iekšējo izmeklēšanu un vajadzības gadījumā veiks izmaiņas.
Ko tas nozīmē pircējam?
Mūsdienu savienotie auto vāc un apstrādā lielu datu apjomu. Demonstrācija rāda, ka drošības līmenis dažādās sistēmās var būt atšķirīgs. Kritiskās braukšanas funkcijas bieži ir izolētākas, taču salona funkcijas, mikrofoni un atrašanās vietas dati var būt vieglāk sasniedzami.
Šādi testi kalpo kā brīdinājums visai nozarei – ne tikai vienam zīmolam.
Avots: A Hacker Took Control Of A BYD For TV, But Should You Be Worried?
Papildu avoti: ABC Four Corners, BYD Austrālijas reakcija.
Noderīgi resursi auto entuziastiem: