Проблеми з кібербезпекою. Австралійські спеціалісти зламали новий китайський пікап від BYD

Австралійська компанія Fortify Labs змогла зламати програмне забезпечення нового пікапа BYD Shark 6 протягом двох тижнів, і результатом цих зусиль стали дані про місцезнаходження та навіть телефонні дзвінки, здійснені в автомобілі.

Бренд розпочав розробку патчу безпеки для Shark 6 і перевіряє, чи потребують оновлення інші його продукти, повідомляє Autoblog.

Окрім конфіденційної інформації, злом також відкриває доступ до функцій автомобіля, таких як фари, склоочисники та інші функції, до яких хакери мають віддалений доступ. Після цього відкриття BYD Australia розпочала офіційне внутрішнє розслідування щодо цього питання після того, як Four Corners, австралійське новинне джерело, повідомило про висновки Fortify Lab.

BYD China назвала проблему кібербезпеки «програмним дефектом», який було використано за допомогою «Android Debug Bridge» (ADB) — інструменту, що забезпечує доступ до пристроїв Android. Shark 6 використовує інформаційно-розважальну систему «DiLink», яка базується на Android і використовується в інших моделях BYD та Denza, окрім Shark 6.

Хоча система Android значною мірою налаштована BYD, не можна заперечувати її базу. Тривожним є те, що багато китайських виробників, окрім BYD, також використовують Android як основу для своїх інформаційно-розважальних систем, що може означати, що цей експлойт також може створити проблеми для інших автомобілів з подібними системами.

BYD виявила, що для підтвердження встановлення програми, яка брала участь в експерименті, потрібен був фізичний дотик. З огляду на це, BYD з того часу видала коригувальні заходи, які «видаляють непередбачуваний шлях, що дозволяє вмикати ADB через інтерфейс користувача інформаційно-розважальної системи, тим самим усуваючи шлях доступу, виявлений під час розслідування».

BYD продовжила, заявивши, що бездротове оновлення для Shark 6 буде випущено «лише після того, як оновлене програмне забезпечення пройде ретельну перевірку». Крім того, BYD розгляне можливість потреби в такому патчі безпеки для інших своїх продуктів.

Компанія Fortify Labs опублікувала власну статтю, в якій детально зазначила, що в епізоді, який описало видання Four Corners, не було показано всього, що було зроблено з автомобілем. Початковою метою Fortify Labs було «імітувати віддалений доступ виробника автомобілів до підключеного транспортного засобу та продемонструвати, як цим доступом можна зловживати». Хоча зміст звіту Four Corners привернув увагу до проблеми, Fortify Labs також уточнила кілька фактів.

Зокрема, було зазначено, що встановлення програмного забезпечення на головний пристрій потрібен був фізичний доступ до транспортного засобу. З цього моменту підключення та керування програмним забезпеченням функціонували дистанційно. Жодної прошивки в системі не було змінено, а також не було докладено жодних зусиль для підвищення привілеїв, оскільки це не було потрібно для демонстрації. Перед початком дослідження SIM-картку було вийнято з телематичного блоку в автомобілі. Це ізолювало автомобіль від інтернету, і він не міг взаємодіяти з жодною частиною серверної інфраструктури BYD.

Наразі система вразлива до злому, але для цього потрібна фізична присутність хакера для встановлення програмного забезпечення, а також підключення до шини CAN, щоб отримати доступ до функцій автомобіля.

В Fortify Labs заявили, що «та сама техніка хакерства може бути використана проти інших головних пристроїв на базі Android в автомобілях інших виробників, якщо вони не заблоковані належним чином».

«Люди не повинні сліпо вірити, що виробники автомобілів виробляють безпечні та надійні автомобілі, і це стосується не лише китайських виробників. Те саме стосується автомобілів, що виробляються в США, Європі та решті Азії. Це стосується всіх виробників автомобілів», — продовжили у Fortify Labs. «Варто також підкреслити, що з цими ризиками стикається не лише Австралія. Це глобальна проблема, і інші країни повинні бути стурбовані».

Раніше NV Авто писав, що на початку вересня 2026 року китайські регуляторні органи розпочали масштабну загальнонаціональну кампанію з перевірки якості та безпеки транспортних засобів після того, як автомобілі провідних брендів BYD та Geely продемонстрували невідповідність заявленим характеристикам. Урядова інспекція виявила суттєві відхилення: від розбіжностей у розмірах колісної бази та перевищення паспортної витрати пального до відсутності інструкцій з експлуатації та несправності систем аварійного захисту.

Масштабна перевірка, до якої залучено чотири центральні відомства, зокрема Міністерство промисловості та інформаційних технологій Китаю, триватиме до кінця 2026 року. У межах цієї кампанії інспектори проводять раптові перевірки на заводах і в дилерських центрах. Вони опломбовують програмне й апаратне забезпечення обраних моделей і відправляють їх на серію краш-тестів, випробування акумуляторних батарей та перевірку міцності конструкції, а також на перевірки з питань кібербезпеки й захисту даних.