I test hanno mostrato che il produttore cinese di autobus aveva accesso ai sistemi di controllo dei veicoli per aggiornamenti software e diagnostica
Un importante operatore del trasporto pubblico, in Norvegia, introdurrà requisiti di sicurezza più rigorosi e rafforzerà le misure contro gli attacchi informatici, dopo che un test sui nuovi autobus elettrici di fabbricazione cinese ha mostrato che il produttore può spegnerli da remoto.
L'operatore di trasporti Ruter ha spiegato che i risultati, pubblicati la scorsa settimana, indicano che il costruttore cinese Yutong Group ha accesso ai sistemi di controllo per aggiornamenti software e diagnostica. “In teoria, questo potrebbe essere sfruttato per intervenire sull’autobus”, ha aggiunto.
I test (condotti con gli autobus portati in miniere sotterranee per eliminare i segnali esterni) sono stati effettuati sia su autobus Yutong nuovi di fabbrica sia su veicoli di tre anni del costruttore olandese Vdl, ha detto l’azienda. Hanno mostrato che gli autobus olandesi non consentivano aggiornamenti software Ota (over-the-air), mentre quelli cinesi sì.
Yutong mercoledì non ha risposto immediatamente alle richieste di commento.
Yutong dichiara di conservare i dati sui bus in Germania: "Utilizzati solo per manutenzione"
Il Guardian, che ha riportato la notizia, ha citato una dichiarazione dell’azienda cinese, che afferma di rispettare scrupolosamente le leggi e le norme dei luoghi in cui operano i suoi veicoli. La dichiarazione aggiunge che i dati relativi ai suoi autobus sono conservati in Germania.
Il quotidiano ha citato un portavoce anonimo di Yutong secondo cui i dati sono cifrati e “utilizzati esclusivamente per la manutenzione, l’ottimizzazione e il miglioramento dei veicoli, per soddisfare le esigenze di assistenza post-vendita dei clienti”.
Secondo il sito di Yutong, negli ultimi decenni l’azienda ha venduto decine di migliaia di veicoli in Europa, Africa, America Latina e nella regione Asia-Pacifico.
Lo studio è nato anche da timori di sorveglianza, in un momento in cui molti Paesi in Europa, Nord America e altrove stanno adottando misure per proteggere i dati dei consumatori e le operazioni da remoto.
Crescono i timori sul controllo da remoto dei veicoli elettrici
I risultati mostrano che “il produttore ha accesso digitale diretto a ogni singolo autobus per aggiornamenti software e diagnostica”, ha dichiarato Ruter, che gestisce metà del trasporto pubblico norvegese e di operare a Oslo e nella regione orientale di Akershus.
Le preoccupazioni sul controllo da remoto dei veicoli elettrici non sono nuove: a gennaio le autorità statunitensi hanno aperto un’indagine su Tesla dopo segnalazioni di incidenti legati all’uso di una tecnologia dell’azienda che consente ai conducenti di comandare a distanza il veicolo perché torni a loro o si sposti in un’altra posizione tramite un’app sul telefono.
Gli autobus Yutong sono con conducente: non sono veicoli senza guidatore, come taxi e navette in luoghi come la California o la Cina.
“Dopo questi test, Ruter passa dalla preoccupazione alla conoscenza concreta di come implementare sistemi di sicurezza che ci proteggano da attività indesiderate o da attacchi ai sistemi di dati dell’autobus”, ha dichiarato in una nota l’amministratore delegato Bernt Reitan Jenssen.
Timore per la sicurezza informatica e lo spionaggio nel settore dei trasporti
Nella vicina Danimarca, la società di trasporti Movia ha riferito di stare rivedendo le valutazioni del rischio su sicurezza informatica e spionaggio sui bus di linea e le possibili misure per prevenire intrusioni informatiche, uso improprio dei dati e rischi di disattivazione degli autobus.
Movia ha aggiunto che le autorità danesi non hanno segnalato casi di autobus disattivati, ma sta cercando modalità per eliminare le vulnerabilità.
Le nuove evidenze, ha spiegato, sono state presentate alla conferenza del traffico InformNorden da consulenti dell’Università della Norvegia sud-orientale e mostrano che né un hacker né il fornitore possono prendere il controllo dell’autobus.
“È inoltre importante sottolineare che i consulenti norvegesi hanno affermato che non si tratta di una preoccupazione specifica per gli autobus cinesi: è un problema che riguarda tutti i tipi di veicoli e dispositivi con questo tipo di elettronica integrata”, ha scritto Movia in un’email.
Norme di sicurezza informatica più severe
Le telecamere sugli autobus non sono collegate a internet, quindi “non c’è rischio di trasmissione di immagini o video dagli autobus”, ha affermato Ruter, che ha oltre cento autobus Yutong nella sua flotta. Gli autobus, ha aggiunto, non possono essere comandati a distanza.
Tuttavia, Ruter ha spiegato che il produttore può accedere, tramite rete mobile, al sistema di controllo della batteria e dell’alimentazione. Ciò significa che, in teoria, gli autobus “possono essere fermati o resi inoperativi dal produttore”.
L’azienda norvegese ha detto che interverrà imponendo regole di sicurezza più severe nei futuri appalti, sviluppando firewall che garantiscano il controllo locale e impediscano le intrusioni, e lavorando con le autorità a “requisiti chiari di sicurezza informatica”.
Sta anche adottando misure per ritardare i segnali in ingresso, “così da poter esaminare gli aggiornamenti inviati prima che raggiungano l’autobus”.