Dania sprawdzi chińskie autobusy w poszukiwaniu backdoorów

Norweski przewoźnik komunikacji publicznej w Oslo przeprowadził badania, które wykazały, że pojazdy marki Yutong posiadają moduł SIM. Może on służyć zarówno do aktualizacji oprogramowania, diagnostyki systemów pojazdu; jednak istnieje ryzyko zdalnego dostępu do systemu przez producenta. Te badania opisywaliśmy w artykule na naszych łamach.

Dania również obawia się ryzyka

Firma Movia jest odpowiedzialna za publiczny transport autobusowy głównie na terenie Kopenhagi. W jej flocie znajduje się ponad 469 chińskich autobusów, z czego ponad 262 to pojazdy marki Yutong. W związku z doniesieniami o możliwym ryzyku zdalnej kontroli nad chińskimi pojazdami, władze Danii postanowiły przeprowadzić kontrolę i podjąć działania mające na celu uniemożliwienie ewentualnego zdalnego dostępu do tych autobusów.

Jak podaje The Guardian, dochodzenie norweskiego przewoźnika wykazało, że usunięcie kart SIM z pojazdów byłoby możliwe, ale jednocześnie mogłoby to spowodować odłączenie autobusu od innych systemów. Ponadto, organ nadzorczy norweskiego transportu publicznego Ruter zapowiada, że nie zrezygnuje z zamawiania autobusów Yutong. Zdecyduje się jednak na zaostrzenie wymogów bezpieczeństwa w przyszłych zamówieniach.

Dyrektor operacyjny Movia, Jeppe Gaard w rozmowie z The Guardian wskazał, że ryzyko związane ze zdalną kontrolą to nie tylko problem chińskich autobusów, ale każdego pojazdu czy urządzenia z chińską elektroniką. Duńska agencja ds. ochrony ludności i zarządzania kryzysowego Samsik ostrzegła z kolei przed tym, że pojazdy te są wyposażone w podsystemy z łącznością internetową oraz czujki (w tym kamery, mikrofony i GPS), które mogą stanowić luki bezpieczeństwa, umożliwiające zdalną manipulację pojazdem.

Yutong odpowiada

Producent badanych autobusów zaznaczył, że przestrzega obowiązujących przepisów w miejscach, w których one operują, a dane pojazdów z UE są przechowywane w centrach danych Amazon Web Services (AWS) we Frankfurcie.

Rzecznik firmy Yutong wskazał w rozmowie z The Guardian, że „dane te są wykorzystywane wyłącznie do celów związanych z obsługą techniczną pojazdów, ich optymalizacją oraz udoskonalaniem, aby sprostać potrzebom klientów w zakresie obsługi posprzedażnej. Dane są chronione poprzez szyfrowanie podczas przechowywania oraz środki kontroli dostępu. Nikt nie ma prawa uzyskać dostępu do tych danych ani ich przeglądać bez autoryzacji klienta. Yutong ściśle przestrzega unijnych przepisów dotyczących ochrony danych osobowych”.

Czy Polska podejmie się podobnych działań?

Wspominaliśmy w naszym artykule o norweskim śledztwie, że w Warszawie obecnie kursują pojazdy marki Yutong. W ostatnim czasie Miejskie Zakłady Autobusowe podpisały umowę na kolejne 30 autobusów. W odpowiedzi na nasze zapytanie dotyczące ryzyka zdalnego sterowania pojazdami, MZA zaznaczyło, że w przetargach biorą udział producenci, którzy posiadają odpowiednie homologacje oraz certyfikaty bezpieczeństwa i cyberbezpieczeństwa.

„Spółka w zakresie cyberbezpieczeństwa posiadanego taboru, w pełni polega na wydanych certyfikatach, które gwarantują bezpieczeństwo użytkowania w tym zakresie. Systemy łączności są zgodne z Regulaminem EU 155 i 156” – odpowiada MZA w komentarzu dla CyberDefence24.pl.