Odborníci na kybernetickou bezpečnost odhalili zranitelnosti chytrých aut

Automobilový průmysl se v uplynulých letech nestal obětí žádného většího úspěšného kybernetického útoku. Vděčí za to především své technické komplikovanosti. To nicméně neznamená, že hrozby zaměřené na chytré automobily neexistují. Vedle masivních útoků je možné napadnout propojené automobily prostřednictvím řady jednoduchých technik. Kyberzločinci mohou například využít staré zranitelnosti, které se dlouhodobě neřeší. Analytici společnosti Kaspersky Lab se proto zaměřili na tajná hackerská diskuzní fóra, kde jim zločinci poodhalili oblasti aut nové generace, na které by se pro jejich slabé zabezpečení mohli zaměřit.

Při své analýze narazili odborníci na několik exploitů a služeb zaměřených na modely propojených aut téměř od všech existujících výrobců a značek. Nástroje podvodníků se zaměřovaly především na extendery, které poskytují přístup k uzavřeným obchodním funkcím a službám. Často se ale také objevovaly nástroje, které vynulují tachometr, ovládají systém spuštění airbagů nebo upozorňují na chyby. Podle odborníků z týmu Security Assessment společnosti Kaspersky Lab se velká část těchto služeb zakládá na zranitelnostech, o kterých výrobci aut ví už dlouhá léta, ale neřeší je. Patří mezi ně především USB porty, které hackeři zneužívají nejčastěji.

Chytré automobily v sobě snoubí řadu systémů a technologií, které potřebují pravidelně aktualizovat. Aktualizace automobilové navigace, ale i složitějších technických systémů, vydávají výrobci v pravidelných a poměrně častých intervalech – běžně každý týden. Zákazníci mohou aktualizace získat v autorizovaných servisech, ale také stáhnout z internetu a nainstalovat prostřednictvím USB disků. Druhý jmenovaný případ může znamenat bezpečnostní riziko. V tomto scénáři výrobce nahraje aktualizaci na internet, odkud si ji zákazník stáhne na flash disk a nainstaluje do automobilu díky USB rozhraní. Hackeři přitom v tomto scénáři mohou využít logické nebo binární zranitelnosti v závislosti na verzi aktualizace a dodavateli.

Tento způsob aktualizování systémů chytrých automobilů je přitom nejrozšířenější, protože je rychlý a levný. Kyberzločincům, kteří chtějí jeho chyby v zabezpečení zneužít, se nabízí řada aktivit, které mohou s automobilem provést:

• Vytvořit backdoor – zločinci díky němu získají skrytý přístup do systému auta
• Únik dat – umožňuje hackerům získat jakákoliv data o voze, někdy i z připojených aplikací
• Nákaza malwarem – přenastavení nebo záměrné narušení funkcí automobilu nebo k němu připojených zařízení
• Zablokování ransomwarem – kyberzločinci mohou zablokovat odemykání nebo další funkce automobilu, za jejichž opětovné zpřístupnění požadují výkupné
• Sledování automobilu prostřednictvím GPS nebo internetu
• Propojení automobilu kanálem VPN – otevřená VPN umožňuje zcela neomezený přístup k datům automobilu skrz šifrovaný kanál
• Otevření SSH – další způsob jak otevřít šifrovaný kanál ke všem systémům vozidla
• Manipulace s ECU (vestavěný počítač pro řízení automobilových systémů – Electronic Control Unit) vozidla – umožní změnit nastavení a chování vozidla
• Špionáž prostřednictvím mikrofonů a kamer přítomných v automobilu
• Získání vzdálené kontroly nad vozidlem
• Odemknout a případně ukrást automobil

"Nové prvky jako je vzdálená diagnostika, telematika a propojené infotainment systémy dokáží zpříjemnit dlouhé cesty a v případě potíží poskytnou řidičům asistenci. Pro celé průmyslové odvětví ale také představují nové výzvy, protože se z aut a řidičů mohou stát nové oběti hackerů. Ti se mohou nabourat do systémů vozidla a ohrozit tak bezpečí, soukromí a finance jejich vlastníků. Kvůli tomu by výrobci moderních automobilů měli věnovat větší pozornost kybernetické bezpečnosti. Kyberbezpečnost by měla být kladena na stejnou úroveň, jako klasická bezpečnost. Pokud nebude zajištěna, útočníci mohou na dálku vypnout jednoduchými softwarovými příkazy bezpečnostní prvky automobilu, a kybernetický útok se tak může velmi negativně projevit i v reálném prostředí," komentuje Sergej Kravchenko, Senior business development manager ve společnosti Kaspersky Lab.