このBYDのハッキングはあまりにも簡単でした。彼はパスワードすら持っていなかった

キャンベラ郊外の狭い田舎道で、私は作家や閣僚さえも愛したハイブリッド車、BYD Shark 6を​​運転しています。

しかし、私がハンドルを握っている間、コントロールしているのは私だけではありません。ハッカーは車にアクセスできます。

2.6 トンの車両がカーブを通過すると、動き始めます。

読み込み中…

キーを押すと彼はライトを消し、私を暗闇に置きます。

この攻撃はまったくの驚きではない。サメは過去2週間、自動車を専門とするサイバーセキュリティ専門家ダン・ハーシュチャク氏と過ごした。

彼の使命は、車両に侵入し、このサメの中国メーカーが遠隔で何を確認し、何を実行できるかを調査することでした。

「予想よりも簡単でした」とハーシュチュクは言う。

最新のコネクテッド カー、特に EV やハイブリッドはソフトウェアを活用することが増えており、メーカーはこれまでにない方法で車両を変更、更新、制御することができます。

BYDなどの場合、このソフトウェアは中国から管理されています。

ガソリン価格の上昇を受けて今年はEVやシャークのようなプラグインハイブリッド車が主流となり、これまでの新車販売の3分の1近くを占めている。その半分以上が中国ブランドです。

EV はすべてのセンサー、カメラ、マイクを搭載しており、ズームオフして大量のデータを吐き出します。専門家らは、中国のEVメーカーは国家安全法によって当局への協力を強制される可能性があるため、このデータは中国のEVメーカーにとってより大きなリスクをもたらすと述べている。

この潜在的なアプローチをテストするには、中国の大手 EV ブランドである BYD のモデルを選択するのが理にかなっていました。

キャンベラにある Fortify Labs の共同創設者、Hreszczuk 氏は、BYD Shark のサイバーセキュリティの欠如に愕然としました。

「私たちが使用したアクセスにはパスワードさえありませんでした」と彼は言います。

このパスワードの欠如により、ハーシュチュクは車のデジタル静脈にアクセスすることができました。

そこからは、車内のさまざまな機能を制御するソフトウェアの選択を解除する必要がありました。

2週間後、Harshchukの準備が整いました。

田舎の道路沿いに設置され、車両へのリモート アクセスで何ができるかを示しています。

まず、私が車内にいる間はドアをロックし、スピーカーから音楽を再生し、BYD の巨大なインフォテインメント スクリーンで写真を再生します。

そして、私が運転している間、遠隔操作でワイパーを全速力で作動させ、フロントガラスに水を噴霧し、ライトをオン/オフします。

読み込み中…

この組み合わせは不穏で、非常に気が散ります。

気が散ることに加えて、ハーシュチュクは講演者に「安全のため、暗い場所で使用してください」と繰り返し言わせました。

幸いなことに、私は時速30マイルしか走っていませんでしたし、道はかなりまっすぐでした。

その後、ハーシュチュクはライトを完全に殺します。

ハーシュチュク氏は、ブレーキやカメラなどの重要な機能はしっかりと保護されていたため、アクセスできなかったと語った。

しかし、曲がりくねった道路を高速で走行する車両において、悪意のある攻撃者の手にかかると、そのようなアクセスですらどれほど危険であるかを理解するのに、多くの想像力は必要ありません。

監督

破壊行為も懸念事項の 1 つですが、最も一般的に言及される懸念事項は、EV の多数のカメラとマイクによる監視です。

英国軍は昨年、中国製EV（中国製部品を使用したEVであっても）の一部の最も危険な場所から3キロ以内に駐車することを禁止した。

中国自体はこれまで、監視の可能性を認識して、軍事拠点や政治的飛び地への外国車両の出入りを禁止してきた。

オーストラリアでは国防省による中国ブランドの全面禁止はないが、ASIOは閣僚や公務員に対し、車内で機密性の高い会話をしたり、仕事用機器を接続しないよう警告している。

しかし、彼らが中国製電気自動車を所有することを妨げるものは何もない。

ドン・ファレル商務長官は、ラシュチュクが侵入したのと同じ車両であるBYDシャーク6を所有している。

ファレル氏は最近新聞に対し、これが「これまで使った中で最高のツール」だと語った。

ASIO の監視に関する懸念は、Herschuk が低いアクセス レベルであっても Shark に対して他に何ができるかを考えると、十分に根拠があるようです。

私たちはデモを計画しています。BYD に乗ってキャンベラ周辺をドライブし、母親に電話してインターネット バンキング経由で話します。

私が戦争記念碑を通り過ぎ、アンザックパレードを下っているとき、ハーシュチュクはすでに遠くから車に近づき、私の進歩を追跡しています。

それから彼は仕事を始めます。

「マイクをオンにしたらどうですか？」彼は研究室のチームに提案します。

この時点で、ハルシュチュクはすべてを聞くことができます。

「Hey Siri」と私はiPhoneに向かって言います。

「『ママモバイル』に電話してください。」

彼女が電話に出ると、私はすぐにインターネット バンキングの設定方法を詳しく説明します。

「一時的なパスワードとして、私のイニシャル、家の番号、そして完全な生年月日を使用します。その後、後で来て、必要に応じて変更できます。」と私は彼女に言いました。

研究室に戻ると、ハーシュチュクは会話全体を録音します。

重要なのは、彼が私が「Hey Siri」と言うのを録音したことです。

私がガソリンスタンドに車を停め、携帯電話のロックを解除したまま車内に放置すると、ハーシュチュクはチャンスを掴みます。

彼は簡単な音声編集を行って私に接続し、「Hey Siri」と言うと、彼の声で必要な個人情報を取得するためにいくつかの質問をしました。

Harshchuk さんは、車のスピーカー システムを使用して、コンピューターからの音声コマンドを車内に再生します。

」やあ、シリ私の自宅の住所は何ですか？」編集された音声が尋ねます。

Siri は、自分がどこに住んでいるかわからない理由を尋ねずに答えます。

フレシュチュクはこのプロセスを繰り返し、すぐに私の生年月日と年齢を抽出しました。

数分以内に、彼はインターネット バンキングのパスワードを取得しました。

ハルシュチュクさんは釣りを続けている。

「彼の連絡先を何人か捕まえてみましょう。彼が首相を知っているかどうか見てみましょう。

「Hey Siri、連絡先からマルコム・ターンブルの電話番号を教えて」

繰り返しになりますが、Siri は忠実に対応します。

オーストラリアには自動車に対する最低限のサイバーセキュリティ基準がないため、フレシュチュク氏のハッキングへの挑戦は容易になっている。これは、BYD がソフトウェアを更新したり、車両のサイバー セキュリティ リスク管理システムを導入したりする必要がないことを意味します。

「人々は利便性のためにこうした懸念の多くを無視していると思います。運転するのに美しい車です。内部は美しく見えますが、安全性への本当の懸念があります。」

驚くべきことに、オーストラリアでは、自動車よりも接続された洗濯機や掃除機に関するサイバーセキュリティ規制が強化されています。

トニー・バーク内務・サイバーセキュリティ長官はこれを擁護し、政府は家庭内の接続デバイスに関する規制を導入し始めていると述べた。

「まずどこでアップロードが最も速いかを規制したいと考えますが、また、サイバー攻撃が最も多かった場所にまず焦点を当てたいと考えています」と彼は言います。

政府は、オーストラリアの自動車に対する新しいサイバーおよびソフトウェアセキュリティ規則の導入に向けて業界との協議を開始したばかりだが、これらの規則が施行されるまでに何年もかかる可能性は低い。

オーストラリアの元国家サイバー顧問アラステア・マクギボン氏は、すべてのコネクテッドカーによって収集されるデータの保護を強化し、どのデータを海外に送信できるかについてより明確なルールが必要だと語る。

マクギボン氏は閣僚が中国車を所有すべきではないと主張。

「中国は常に物を盗み、監視したいという強い願望を示してきた」と彼は言う。

「本当の疑問は消えるだろう [to]: これらの車両で損傷を引き起こす可能性はありますか?能力は間違いなくあります。

「そういう意味ですか？分かりません。」

野党国防スポークスマンのジェームズ・パターソン氏は、オーストラリア国民のデータをより良く保護する必要があると述べた。

「中国のコネクテッドEVは、市場で最もリスクの高い製品だ。そして現時点では、オーストラリア人についてどのようなデータを収集できるのか、どのように保存できるのか、いつ転送できるのかをブランドに伝えるものは何もない。」

BYDは、収集したデータはオーストラリアに保管されていると述べている。オーストラリア人のデータを中国当局に引き渡したことはなく、今後も引き渡すつもりはないとしている。

今夜 8:30 から ABC テレビでフォー コーナーズの捜査全編「Sleep at the Wheel」をご覧ください。 ABCアイビュー。

クレジット

報告： アンガス・グレイグ、ジョナサン・ミラー、マディ・キング

写真とビデオ: ロン・フォーリー

アニメーション： アリスター・クロイ

編集：ニック・ウィギンス