BYD Shark 6 и взлом в Four Corners: ответ производителя и меры защиты

Компания BYD оперативно отреагировала на вопросы кибербезопасности пикапа Shark 6 после выхода австралийского документального фильма программы Four Corners телеканала ABC, в котором демонстрировалась уязвимость автомобиля.

В рамках съемок эксперт по кибербезопасности Дан Хрещук (Dan Hreszczuk) две недели эксплуатировал плагиновый гибрид и сумел получить доступ к внутренним микрофонам, управлению дверными замками, аудиосистеме, а также удаленно включить дворники и выключить фары во время ночной езды. Детали метода взлома в фильме не разглашались во избежание копирования.

Однако BYD провела собственное расследование и выявила два вектора атаки. Первый — через разрыв Android Debug Bridge (ADB) с помощью специального инструмента и установку ненадежного стороннего приложения в медиасистему. Производитель подчеркивает: для доступа к геолокации и микрофону водитель должен подтвердить запрос прав на экране, о чем документалисты не сообщили. Уязвимость воспроизведена в тестах BYD, и готовится OTA-обновление, закрывающее путь активации ADB (по умолчанию он отключен). Аналогичные патчи получат и другие модели при обнаружении схожих проблем.

Второй вектор — физическое подключение к проводке и доступ к внутренней CAN-шине. Хрещук в своем блоге подтвердил: он вскрыл проводку и установил одноплатный компьютер Raspberry Pi. Подобное возможно во многих современных авто, так как требует прямого контакта с электроникой. Для защиты от подключения через OBD-порт BYD внедрила новые меры: теперь интерфейс требует физической изоляции и аутентификации устройства.

Таким образом, показания фильма о «удалённом взломе» критически важных систем не отражают полную картину: контроль над фарами и дворниками требовал непосредственного вмешательства в «железо» автомобиля.