En cybersäkerhetsexpert lyckades ta fjärrkontroll över flera funktioner i en BYD Shark 6. Under ett kontrollerat test släckte han bilens strålkastare, låste dörrarna och aktiverade vindrutetorkarna medan bilen kördes.
Åtkomsten som utnyttjades saknade enligt experten lösenord. Testet gäller en australisk laddhybridpickup som inte ingår i BYD:s svenska modellprogram – och bevisar inte att svenska BYD-bilar har samma sårbarhet.
Släckte ljuset på en rullande bil
Australiens public service-bolag ABC gav cybersäkerhetsexperten Dan Hreszczuk, medgrundare av Fortify Labs, två veckor på sig att undersöka en BYD Shark 6.
Under ABC-programmet Four Corners kontrollerade han bilen på distans medan reportern körde på en landsväg utanför Canberra.
Hreszczuk kunde bland annat:
- låsa bilens dörrar
- spela musik på hög volym
- visa bilder på infotainmentskärmen
- starta vindrutetorkarna
- spruta spolarvätska
- tända och släcka strålkastarna
- följa bilens position
- aktivera kupéns mikrofon
Bilen kördes i cirka 30 km/h under demonstrationen. Testet var planerat och genomfördes under kontrollerade förhållanden, men visade hur även till synes sekundära funktioner kan skapa en farlig situation.
Åtkomsten saknade lösenord
Hreszczuk uppgav att den ingång som han använde inte ens var skyddad med lösenord. Därifrån kunde han kartlägga de programvarufunktioner som styrde olika delar av bilen.
Han lyckades däremot inte komma åt bromsarna eller bilens kameror. Enligt experten var dessa mer kritiska system väl skyddade.
Resultatet innebär därför inte att han kunde ta över hela bilen eller styra den som ett fjärrkontrollerat fordon. Möjligheten att släcka ljuset och skapa kraftiga störningsmoment under färd är ändå en allvarlig säkerhetsrisk.
ABC beskriver inte den tekniska angreppsvägen tillräckligt detaljerat för att andra ska kunna upprepa testet. Granskningen anger inte heller om åtkomsten krävde tidigare fysisk kontakt med bilen eller särskilda förberedelser.
Kunde lyssna genom bilens mikrofon
Fjärråtkomsten användes också för att aktivera kupémikrofonen. Hreszczuk kunde följa bilens position och spela in ett telefonsamtal som fördes inne i bilen.
I ett separat demonstrationsmoment använde han inspelningen för att skapa ett ljudklipp med orden ”Hey Siri”. När reportern lämnade sin olåsta Iphone i bilen spelades kommandot upp genom bilens högtalare.
Telefonen lämnade då ut bland annat hemadress och födelsedatum. Momentet krävde att telefonen var olåst och att röstassistenten accepterade kommandon, men visar hur åtkomst till bilens mikrofon och högtalare kan kombineras med svagheter i andra anslutna enheter.
Bilägare kan minska den delen av risken genom att begränsa vilka funktioner telefonens röstassistent får använda när skärmen är låst. Det löser däremot inte den påvisade fjärråtkomsten till bilen.
BYD Shark 6 säljs inte i Sverige
Shark 6 är en laddhybriddriven pickup för bland annat den australiska marknaden. Modellen finns inte i BYD:s aktuella svenska modellprogram, som omfattar andra elbilar och laddhybrider.
Testet visar därför inte att exempelvis BYD Atto 2, Atto 3 Evo, Sealion 7 eller Seal U DM-i kan angripas på samma sätt. Olika modeller kan använda annan hårdvara, programvara och serverinfrastruktur.
Det är inte heller fastställt att alla australiska Shark 6 har den påvisade bristen. ABC redovisar ett test av en specifik bil och anger inte chassinummer, programvaruversion eller tillverkningsdatum.
Någon svensk återkallelse eller säkerhetskampanj kopplad till fyndet har inte presenterats.
BYD svarar om lagringen av data
En stor del av ABC:s granskning handlar om vilka uppgifter uppkopplade bilar samlar in och vem som kan nå dem.
BYD uppgav för ABC att information om australiska kunder lagras i Australien. Företaget sade också att det inte har lämnat och inte skulle lämna australiska kunduppgifter till kinesiska myndigheter.
Den publicerade artikeln innehåller däremot inget besked från BYD om den lösenordslösa åtkomst som experten säger sig ha utnyttjat. Det framgår inte heller om en programuppdatering har utvecklats eller distribuerats efter testet.
En varning för hela bilbranschen
Problemet är större än ett enskilt bilmärke. Moderna bilar innehåller mobiluppkoppling, mikrofoner, kameror, appar och funktioner som kan styras via tillverkarens servrar.
Det ger ägaren bekväma tjänster som fjärrvärmning, digital nyckel och automatisk felrapportering. Samma anslutningar skapar samtidigt nya angreppsvägar om behörigheter eller uppdateringssystem inte är tillräckligt skyddade.
Den australiska granskningen visar framför allt vad som kan hända när en angripare får tillgång till flera mindre kritiska system samtidigt. Vindrutetorkare, ljudanläggning och belysning behöver inte ge kontroll över bromsarna för att ändå göra körningen farlig.
För svenska BYD-ägare finns inget underlag för att sluta använda bilen. Fyndet motiverar däremot att hålla bil och mobilapp uppdaterade, skydda BYD-kontot med ett unikt lösenord och vara försiktig med känsliga samtal i uppkopplade fordon.
