Avustralya’da gerçekleştirilen kontrollü bir siber güvenlik deneyinde BYD’nin bir modelinin konumu takip edildi, mikrofonuna, kapı kilitlerine, sileceklerine ve aydınlatma sistemine uzaktan erişildi.
Yazılım kontrolüyle, uzaktan güncelleme ve mobil uygulama gibi avantajlarla birlikte gelen yeni nesil otomobiller, aynı zamanda güvenlik riskleri de getiriyor. Avustralya kamu yayıncısı ABC’nin Four Corners programı için gerçekleştirilen bir deney, bu risklerin ne kadar ileri gidebileceğini gösterdi.
Siber güvenlik alanında çalışan Fortify Labs kurucu ortağı Dan Hreszczuk’a bir BYD Shark 6 verildi ve araçtaki açıkları bulması için iki hafta süre tanındı. Araştırmacı bu sürenin sonunda otomobilin bazı sistemlerine uzaktan ulaşmayı başardı.
Deney sırasında Shark 6’nın gerçek zamanlı konumu takip edildi, kabin mikrofonu dinlendi, kapılar kilitlendi, silecekler çalıştırıldı ve multimedya sistemi üzerinden yüksek sesli müzik oynatıldı. En dikkat çekici bölümde ise aracın farları gece sürüşü sırasında uzaktan bir bilgisayar üzerinden kapatıldı.
KABİN MİKROSUNUNDAN SİRİ’YE ULAŞTI
Araştırmacının eriştiği özellikler otomobilin dış aydınlatmasıyla sınırlı kalmadı. Shark 6’nın konumu gerçek zamanlı olarak izlenirken kabindeki mikrofon da uzaktan etkinleştirildi.
Deney için hazırlanan senaryoda gazeteci, araç içerisinde yaptığı telefon görüşmesi sırasında geçici banka şifresini oluşturmakta kullanacağı kişisel bilgileri yüksek sesle söyledi. Hreszczuk bu konuşmayı otomobilin mikrofonu üzerinden kaydetti.
Araştırmacı daha sonra gazetecinin “Hey Siri” ifadesini söylediği bölümü ayırarak kendi sorularıyla birleştirdi. Gazeteci otomobilden ayrılırken kilidi açık iPhone’unu içeride bıraktığında, hazırlanan ses kaydı aracın hoparlörlerinden oynatıldı.
Siri, kullanıcının ev adresi, doğum tarihi, yaşı ve rehberindeki bazı telefon numaraları gibi bilgileri sesli olarak açıkladı.
ERİŞİM NOKTASINDA PAROLA BULUNMUYORDU
Araştırmacı Hreszczuk, otomobil üzerinde yaptığı incelemede araç içi iletişim ağına ulaşmaya çalıştı. Bu ağ; kapı kilitleri, aydınlatma, silecekler ve diğer elektronik kontrol birimlerinin birbiriyle haberleşmesini sağlıyor.
Hreszczuk, farklı zayıflıkları bir araya getirerek otomobilin bazı işlevlerine eriştiklerini ve yararlandıkları erişim noktalarından birinin parola korumasına dahi sahip olmadığını söyledi.
Deney araştırmacıların iki hafta boyunca araca fiziksel erişimi olması, aracı incelemesi ve bağlantı noktaları üzerindeki analizleri nedeniyle sonuçlar, bütün uzaktan erişim olan modellerin ele geçirilebileceği anlamına gelmediği belirtiliyor.
Ayrıca saldırının ilk aşamasının ne kadar fiziksel erişim gerektirdiği ve elde edilen uzaktan erişimin farklı araçlara taşınıp taşınamayacağı konusunda bütün teknik ayrıntılar açığın kötü niyetli kişiler tarafından tekrarlanmasını önlemek amacıyla kamuoyuyla paylaşılmadı.
Tesla, Kia, Xpeng ve Subaru gibi farklı üreticilerin otomobillerinde de daha önce uzaktan erişim sağlayabilen güvenlik açıkları tespit edildi.
