Główne zagrożenia cyberbezpieczeństwa w branży automotive

SHARE

Branża automotive czerpie pełnymi garściami z prężnie rozwijającej się technologii. Pojazdy przestają być tylko urządzeniami mechanicznymi. Stają się wyspecjalizowanymi komputerami kontrolującymi całą mechanikę i system elektryczny auta. Podłączenie ich do internetu rodzi pewne zagrożenia. Czy możemy uznać, że przemysł samochodowy jest bezpieczny w sieci? Z jakich powodów hakerzy skupiają na nim swoje działania? Jakie są główne zagrożenia cyberbezpieczeństwa w branży automotive, na które powinna zwrócić uwagę kadra kierownicza? Dowiesz się z naszego artykułu.

 

Czy branża automotive jest bezpieczna w sieci?

 

W grudniu 2021 roku kilku producentów samochodów stało się ofiarą cyberataku. Volvo przyznało, że hakerzy wykradli wtedy dane firmy dotyczące badań i rozwoju.

 

Toyota w lutym 2022 roku na kilka dni zawiesiła pracę we wszystkich japońskich fabrykach. Taka decyzja została podjęta po cyberataku na Kojima Industries, producenta części i partnera Toyoty. Wpłynęło to na produkcję około 10 tys. pojazdów, co wiąże się z 5% miesięcznej produkcji firmy w Japonii.

 

Koncerny Honda, Nissan i Renault (KPMG) w 2017 roku zaatakował wirus WannaCry. Honda tymczasowo zamknęła zakłady produkcyjne, gdy okazało się, że zainfekowane zostały sieci firmowe w Japonii, Ameryce, Europie i Chinach. Wiązało się to z ogromnymi stratami finansowymi.

 

Fiat Chrysler musiał wezwać do serwisu 1,4 miliona pojazdów, gdyż w trakcie jazdy próbnej do samochodu skutecznie włamali się legalnie działający hakerzy. Udało im się zdalnie zmienić ustawienia wycieraczek, klimatyzacji i radia.

 

Chińscy hakerzy znaleźli sposób, by zhakować Teslę. Rozmieścili na skrzyżowaniu małe naklejki i wmówili autopilotowi, że to uszkodzenia nawierzchni. W ten sposób sprowadzili auto na niewłaściwy pas ruchu.

 

Na Szczycie Cyfrowym ONZ (IGF 2021) w Katowicach eksperci ustalili, że cyberbezpieczeństwo autonomicznych samochodów przyszłości jest bardzo słabo zdefiniowane. Wciąż brakuje odpowiednich standardów czy regulacji.

 

To tylko niektóre przykłady pokazujące, że przemysł samochodowy wcale nie jest taki bezpieczny w sieci. Nawet ogromne koncerny, które przeznaczają wysokie środki na cyberbezpieczeństwo, muszą się liczyć z prawdopodobieństwem cyberataku mogącego sparaliżować pracę całej firmy na dłużej.

 

Dlaczego branża automotive jest atrakcyjna dla hakerów?

 

Wciąż rośnie liczba zarówno samochodów autonomicznych, jak i aut połączonych z siecią. Instalowanie w pojazdach internetu rzeczy (IoT) pozwala znacząco podnieść komfort jazdy oraz poziom bezpieczeństwa podróży. Jednak stały rozwój technologiczny niesie ze sobą również pewne zagrożenia

 

Nowoczesne samochody to obecnie komputery naszpikowanie elektroniką i rozwiązaniami wymagającymi połączenia z siecią. Według analityków KPMG w autach klasy premium występuje około 150 milionów linijek kodów oprogramowania cyfrowego. Okazuje się, że to 12 razy więcej niż na przykład w samolocie bojowym F-35 czy pasażerskim Boeingu 787. A to dopiero początek. Eksperci McKinsey zakładają, że w 2030 roku liczba kodów wzrośnie do 300 milionów, przez co auta znajdą się w gronie najbardziej skomplikowanych maszyn na świecie. Nie masz szans, by hakerzy nie skorzystali z takiej okazji.

 

W motoryzacji mamy do czynienia z wieloetapowym, złożonym procesem produkcyjnym. Na każdym etapie cyklu życia produktu mogą pojawić się luki techniczne, stanowiące furtkę dla hakerów. Przemysł motoryzacyjny powinien się dobrze przygotować na wzmożone zagrożenia cybernetyczne oraz różnego typu złośliwe działania. Samochody to teraz ogromna baza wartościowych danych, podłączona do internetu, a więc dająca hakerom szansę na uzyskanie dostępu.

 

Włamanie do samochodu ułatwia fakt, że systemy operacyjne podnoszące komfort jazdy – na przykład możliwość prowadzenia rozmów, klimatyzacja, sprzęt audio – parują się z osobistymi smartfonami. Niestety takie telefony często nie mają wystarczających zabezpieczeń, a więc można się bardzo łatwo do nich dobrać.

 

Za hakowaniem pojazdów stoi nie tylko motywacja finansowa, a więc chęć zdobycia danych do sprzedania czy wymuszenie okupu w zamian za odszyfrowanie plików. Takie akcje mogą być po prostu sposobem na zdobycie chwilowej sławy przez danego hakera. Włamywanie się do systemów w autach nierzadko stanowi też element aktywności podmiotów państwowych w rozgrywkach politycznych. Nie zapominajmy w tym wszystkim o kwestii bezpieczeństwa użytkownika – cyberprzestępcy, niezależnie od własnych pobudek, manewrując opcjami w pojazdach, mogą spowodować realne zagrożenie życia kierowcy oraz innych niewinnych osób.



Na jakie cyberzagrożenia musi się przygotować przemysł samochodowy?

 

Działając w branży automotive, nie można traktować sprawy cyberbezpieczeństwa jako drugorzędnej. Ta kwestia koniecznie musi znaleźć się wśród priorytetów, a więc nie obejdzie się bez przeznaczenia części budżetu na ulepszanie zabezpieczeń. Niestety niektórych sytuacji nie da się uniknąć.

 

Szczególnie wrażliwe są systemy nawigacji czy alarmu, gdyż do nich łatwo mogą wniknąć wirusy. Hakerzy chętnie atakują też immobilizery w pojazdach. W tej kwestii zasłynął Oscar Ramos-Lopez, który włamał się do systemu zarządzającego immobilizerami w Texas Auto Center, unieruchamiając ponad sto samochodów. Innym razem masowo włączył alarmy na całą noc.

 

Cyberprzestępcy lubią też atakować systemy komunikacji wewnętrznej w autach, wpływając na takie funkcje, jak: ustawienia kamery cofania, wspomaganie kierownicy, ustawienia lusterek podczas cofania. Stwarza to ogromne zagrożenie na drodze.

 

Hakerzy chętnie stosują ataki typu brute force. To technika łamania haseł poprzez sprawdzanie wszystkich możliwych kombinacji. Przestępcy mają do dyspozycji oprogramowanie, które generuje coraz to nowe opcje, opierając się o dostępne algorytmy. Hasło, w zależności od jego stopnia skomplikowania, można złamać w kilka miesięcy, tygodni, a nawet dni.

 

Tak jak i w wielu innych branżach, tutaj znakomicie sprawdza się też phishing. To przebiegła metoda wyłudzenia danych dostępowych. Hakerzy, podszywając się pod inny podmiot, skłaniają użytkownika do kliknięcia w link lub otworzenia załącznika ze złośliwym oprogramowaniem. Wystarczy więc tylko jedna osoba, która nie zauważy oszustwa, by szkodliwe oprogramowanie pojawiło się na komputerze firmowym.

 

Kadra kierownicza w przemyśle samochodowym musi być również gotowa na potencjalne ataki z wykorzystaniem złośliwego oprogramowania ransomware. Hakerzy, po dostaniu się do systemów IT, szyfrują wszystkie dostępne dane, co może doprowadzić do paraliżu firmy i zaburzenia ciągłości działania. W dodatku przedsiębiorstwo staje przed ogromnym dylematem, czy zapłacić wysoki okup w zamian za przywrócenie dostępu do danych.

 

Część problemów może wynikać z braku jednolitych norm i regulacji prawnych. Na przykład kto ponosi odpowiedzialność za wadliwy element, ułatwiający hakerom pracę? Czy producent powinien odpowiadać za zachowanie się komponentu, którego sam nie wyprodukował, tylko zdobył z innego źródła? W branży często za wypadki obwinia się czynnik ludzki, chroniąc w ten sposób producenta czy dostawcę danych części.

 

Dużym zagrożeniem dla bezpieczeństwa aut może być sam użytkownik, który jest nieświadomy czyhających zagrożeń. Wystarczy, że podłączy do samochodu słabo zabezpieczone urządzenie mobilne.

 

Pamiętajmy, że hakerzy bywają niezwykle pomysłowi w działaniach. Często zaskakują nieszablonowymi rozwiązaniami. Mogą przeprowadzić atak w sposób, jakiego mało kto w ogóle by się spodziewał.

 

"Dzięki dynamicznemu rozwojowi idei „connected cars” firmy samochodowe gromadzą ogromne ilości cennych danych osobowych – głównie dotyczących lokalizacji i charakterystyki jazdy danego kierowcy. Obejmują one też aktywności podłączonych urządzeń, takie jak wykonane połączenia, wiadomości i numery telefonów, co dla świadomych użytkowników aut jest bardzo niepokojące. Sytuacja ta daje cały wachlarz możliwości przestępcom, którzy są w stanie wykradać dane bez fizycznego kontaktu z pojazdem przechwytując sygnały i połączenia, by następnie zgromadzone informacje wykorzystać do oszustw typu phishing opartych o wiadomości e-mail, SMS lub nawet w kontakcie bezpośrednim podając się za serwis samochodowy." - mówi Bartosz Kozłowski - ekspert ds. bezpieczeństwa Sagenso.

 

Jeżeli chcesz zadbać o bezpieczeństwo danych w swojej firmie, przeprowadź samodzielnie bezpłatny audyt cyberbezpieczeństwa. Zachęcamy również do zajrzenia na nasz fanpage lub profil LinkedIn, gdzie dzielimy się przydatnymi wskazówkami.

 

Do usłyszenia!

Zespół Sagenso

Ocena wdrożonych rozwiązań

Zachęcamy do przetestowania nas i naszej wiedzy bez żadnych zobowiązań i ryzyka. Bezpłatnie zweryfikujemy aktualnie wdrożone narzędzia i procedury w Twojej firmie.