Najczęstszym motywem ataków na pojazdy jest kradzież zarówno samych samochodów jak i danych kierowców oraz pasażerów. Coraz częściej dochodzi również do ataków wymierzonych w producentów, operatorów flot czy dealerów, a także do prób szantażu lub wyłudzeń związanych z uzyskaniem dostępu do systemów zarządzania pojazdami i flotami – wylicza dr inż. Wiktor Sędkowski, który właśnie wygrał światowe zmagania dotyczące cyberbezpieczeństwa pojazdów.
Kamil Kalinowski: Niedawno Pana drużyna pokonała zespoły z całego świata w prestiżowym konkursie dotyczącym cyberbezpieczeństwa samochodów. Zmagania odbyły się na konferencji DEF CON w Las Vegas, jednej z najbardziej znanych konferencji hakerskich na świecie. Na co kładziono nacisk podczas konferencji, jeśli chodzi właśnie o obecne zagadnienia dotyczące hakowania samochodów?
Dr inż. Wiktor Sędkowski z Katedry Cyberbezpieczeństwa Wydziału Informatyki Politechniki Opolskiej:
DEF CON i poprzedzający go Black Hat to konferencje, na których prezentowane są najnowsze badania i odkrycia w dziedzinie cyberbezpieczeństwa. Car Hacking Village stanowi jedynie jeden z wielu obszarów tematycznych, a mimo to zaprezentowano tam szereg interesujących wyników. Uczestnicy mogli zapoznać się m.in. z przypadkami wykorzystania luk w platformach dealerskich popularnych marek samochodowych, gdzie podatności w API pozwalały na zdalne przejęcie pojazdów poprzez uzyskanie uprawnień administratorskich nawet na poziomie krajowym. Wskazano także ryzyka wynikające z integracji systemów sprzedaży, serwisu i zarządzania flotą, podkreślając konsekwencje takich ataków zarówno dla użytkowników indywidualnych, jak i przedsiębiorstw. Ciekawym wątkiem była kwestia bezpieczeństwa komunikacji i diagnostyki w pojazdach ciężarowych korzystających z protokołu KWP2000. Zademonstrowano również scenariusze ataków, takie jak użycie specjalnie spreparowanego pliku PNG w roli „backdoora”, który umożliwiał zdalne przejęcie kontroli nad centralną jednostką sterującą systemami multimedialnymi w samochodzie.
W literaturze, filmach często poruszany jest wątek, gdy ktoś przejmuje zdalnie sterowanie samochodem i doprowadza do wypadku lub blokuje jednocześnie kilka pojazdów. Jak bardzo jest to prawdopodobne w rzeczywistości?
Testy penetracyjne oraz publiczne demonstracje przeprowadzane podczas wcześniejszych edycji konferencji Def Con i Black Hat potwierdziły, że zdalne ataki na wybrane modele pojazdów są technicznie możliwe — szczególnie tam, gdzie sieci CAN, systemy telematyczne lub zewnętrzne interfejsy wykazują podatności na różne typy zagrożeń.
Najgłośniejszym przykładem była demonstracja przeprowadzona przez dra Charliego Millera i Chrisa Valaska, którzy zdalnie przejęli kontrolę nad Jeepem Cherokee, wykorzystując lukę w systemie Uconnect. Za pomocą własnych narzędzi doprowadzili do zdalnego wyłączenia silnika na autostradzie oraz zademonstrowali możliwość manipulowania skrzynią biegów i układem hamulcowym. Choć incydent nie zakończył się wypadkiem, unaocznił realne zagrożenie związane z możliwością zdalnego ingerowania w mechanikę pojazdu. Skala problemu zmusiła producenta do ogłoszenia akcji serwisowej, obejmującej 1,4 miliona samochodów, w celu usunięcia podatności.
W 2017 roku chińscy badacze zaprezentowali wyniki swoich testów dotyczących modeli Tesla S i X. Podczas konferencji w Las Vegas pokazali nagrania wideo dokumentujące, jak poprzez złośliwy hotspot Wi-Fi byli w stanie zdalnie aktywować hamulce, sterować ekranami, drzwiami, lusterkami, bagażnikiem, a nawet systemem multimedialnym pojazdu. Szczegóły tego ataku zostały opisane w oficjalnych publikacjach Keen Security Lab oraz relacjonowane przez BBC i Wired.
Z jakich głównie powodów auta są hakowane i jak często do takich ataków dochodzi?
Najczęstszym motywem ataków na pojazdy jest kradzież – zarówno samych samochodów (np. poprzez obejście systemów bezkluczykowego dostępu lub przejęcie kontroli nad elektronicznymi zamkami), jak i danych kierowców oraz pasażerów. Coraz częściej dochodzi również do ataków ransomware, wymierzonych w producentów, operatorów flot czy dealerów, a także do prób szantażu lub wyłudzeń związanych z uzyskaniem dostępu do systemów zarządzania pojazdami i flotami.
Choć nie prowadzę własnych statystyk dotyczących konkretnych typów incydentów, natrafiłem około rok temu na raport, z którego wynikało, że w ciągu ostatnich pięciu lat liczba przypadków hakowania samochodów wzrosła o 225%.
Warto też wspomnieć o innym rodzaju „hakowania”, które zazwyczaj kojarzy nam się z nadużyciem, włamaniem lub po prostu czymś złym. Istnieje również cała gałąź działań podejmowanych przez pasjonatów motoryzacji oraz profesjonalne warsztaty. Celem takich modyfikacji jest zazwyczaj poprawa osiągów pojazdu, zwiększenie komfortu jazdy lub personalizacja jego parametrów. Wykorzystuje się do tego specjalistyczne oprogramowanie diagnostyczne oraz interfejs OBD-II. Bardziej zaawansowane operacje mogą obejmować aktualizacje firmware’u skrzyni biegów, systemów zawieszenia czy innych modułów, co pozwala m.in. na aktywację trybów sportowych lub komfortowych, niedostępnych w fabrycznej konfiguracji. Do popularnych modyfikacji należą też zmiany w systemach multimedialnych i wyświetlaczach, uruchamianie świateł dziennych, automatyczne domykanie szyb po zamknięciu auta czy odblokowanie ukrytych funkcji producenta.
Czy łatwo zhakować oprogramowanie auta, żeby np. podsłuchać kierowcę? Czy takie działania są popularne?
Niestety, w literaturze pojawia się ten temat, co świadczy o tym że to zagrożenie jest całkiem realne. W praktyce celem przestępców zdecydowanie częściej będzie kradzież naszego samochodu niż próba zhakowania go w celu podsłuchiwania naszych rozmów. Wydaje mi się, że nawet jeśli ktoś miałby żywy interes w prowadzeniu inwigilacji rozmów konkretnego użytkownika, to nadal zdecydowanie łatwiej będzie zainstalować fizyczny podsłuch w samochodzie, niż hakować jego systemy.
Jaka jest skala problemu jeżeli chodzi o hakowanie aut? Czy dotyczy to krajów zamożnych i aut zaawansowanych technicznie czy właściciel Skody Fabii też ma się czego obawiać?
Ataki najczęściej dotyczą nowoczesnych pojazdów połączonych z Internetem. Jeszcze do niedawna celem były głównie samochody klasy premium oraz floty korporacyjne, jednak dziś zaawansowaną telemetrię posiadają już nawet elektryczne hulajnogi.
Mimo to najbardziej podatne na ataki pozostają pojazdy silnie wyposażone w elektronikę, które dominują zwłaszcza na rynkach zamożniejszych – takich jak Stany Zjednoczone, kraje Europy Zachodniej czy Japonia. Wśród marek najczęściej wymienianych jako cel ataków znajdują się Tesla, BMW, Mercedes, Volkswagen oraz Jeep – czyli producenci oferujący zaawansowane funkcje bezkluczykowego dostępu i zdalnego sterowania pojazdem za pomocą aplikacji mobilnej.
Zgodnie z najnowszymi raportami z bieżącego roku, aż 70% nowych samochodów sprzedawanych w Europie jest wyposażonych w zaawansowane połączenia z infrastrukturą cyfrową. Oznacza to, że ryzyko cyberzagrożeń dotyczy już nie tylko właścicieli aut premium, ale również posiadaczy pojazdów z niższych segmentów cenowych.
Czy podpinanie auta do publicznej ładowarki, np. w galerii handlowej, jest ryzykiem bezpieczeństwa cyfrowego?
Dotychczasowe analizy teoretyczne pokazują, że możliwe jest przeprowadzenie ataków typu „man-in-the-middle” lub wdrożenie exploitów firmware’owych na ładowarki pojazdów elektrycznych. W niektórych przypadkach może to umożliwić zdalny dostęp do systemów samochodu – atakujący mógłby manipulować procesem ładowania, uzyskać dostęp do lokalnych sieci pojazdu, a nawet modyfikować dane transakcji płatniczych.
Osobiście uważam jednak, że tego typu zagrożenia są dziś marginalne. Codzienne korzystanie z publicznych ładowarek pozostaje relatywnie bezpieczne, choć warto zachować podstawowe środki ostrożności – regularnie aktualizować oprogramowanie pojazdu, unikać nieautoryzowanych aplikacji oraz ostrożnie podchodzić do nietypowych punktów ładowania.
Pamiętam, że jeszcze niedawno wielu ekspertów ds. bezpieczeństwa bagatelizowało zagrożenie tzw. „juice jacking” – czyli ataków na smartfony przez publiczne porty USB. Tymczasem zaledwie miesiąc temu badacze z Uniwersytetu w Gratz zaprezentowali realny i skuteczny wariant tego ataku, określany jako „choice jacking”. Z wykorzystaniem spreparowanej stacji ładowania byli w stanie przejąć kontrolę nad nowoczesnymi urządzeniami z systemami Android 14 oraz iOS 17.4.1. A czy przestępcy rzeczywiście zaczną wykorzystywać ten wektor ataku na większą skalę? To mało prawdopodobne – ale z technicznego punktu widzenia jak najbardziej możliwe.
