Especialista em cibersegurança assume o controle de picape em movimento e expõe falha grave de proteção em carros conectados
Uma BYD Shark 6 foi hackeada remotamente durante um teste realizado na Austrália pelo especialista em cibersegurança automotiva Dan Hreszczuk. O acesso permitiu interferir em funções do veículo enquanto a picape estava em movimento.
Realizado a pedido da emissora de TV australiana ABC, o teste também revelou que era possível ativar o microfone da cabine e acompanhar a localização do veículo. O episódio chama atenção para os riscos de segurança e privacidade de carros cada vez mais dependentes de sistemas conectados.
Uma porta de entrada sem senha
Cofundador da Fortify Labs, Hreszczuk passou duas semanas analisando os sistemas da Shark antes de testar o acesso em uma estrada nos arredores de Camberra. Segundo ele, a entrada explorada não exigia senha.
“Foi mais fácil do que estávamos esperando”, afirmou o especialista.
A partir desse acesso, Hreszczuk conseguiu interferir em diferentes recursos. A picape, que pesa 2,6 toneladas, trafegava a cerca de 30 km/h quando ele desligou os faróis. Também acionou os limpadores na velocidade máxima, jogou água no para-brisa, travou as portas e reproduziu sons e imagens pela central multimídia.
Em determinado momento, o sistema de som passou a repetir uma mensagem de orientação ao motorista. Os freios e as câmeras, porém, tinham proteções mais rigorosas e não puderam ser controlados remotamente durante o teste.
O experimento envolveu diferentes áreas do veículo, entre elas:
- iluminação externa, incluindo o desligamento dos faróis;
- comandos dos limpadores e do esguicho do para-brisa;
- travas das portas e sistema de áudio;
- central multimídia, com reprodução de imagens e sons;
- microfone interno e rastreamento da localização.
Do carro ao celular
O acesso aos sistemas da picape também abriu caminho para outra demonstração. Hreszczuk ativou o microfone interno e acompanhou em tempo real o deslocamento do veículo.
Durante uma conversa entre o motorista e a mãe sobre internet banking, o especialista gravou o áudio, incluindo o comando “Hey Siri”. Mais tarde, quando o celular estava desbloqueado dentro do carro, ele reproduziu pelos alto-falantes uma versão editada da gravação.
A assistente do iPhone respondeu aos comandos e forneceu informações como endereço, data de nascimento e contatos. A demonstração mostrou, na prática, como uma vulnerabilidade no automóvel pode ser usada para interagir com outros dispositivos presentes na cabine.
Austrália discute novas regras
O teste também ocorre em um cenário de regras ainda limitadas para a segurança digital dos veículos na Austrália. O país não tinha padrões mínimos obrigatórios de cibersegurança para carros, e o governo havia iniciado consultas com o setor para estabelecer novas exigências sobre proteção digital e atualizações de software.
A previsão apresentada na reportagem é de que essas regras ainda levem anos para entrar em vigor.
Hreszczuk resumiu a facilidade encontrada no sistema: “Não precisei arrombar a fechadura porque a BYD deixou a porta da frente aberta”.
A BYD afirma que os dados coletados são armazenados na Austrália e que não entregou nem entregaria informações de australianos às autoridades chinesas. O caso amplia a discussão sobre a proteção dos sistemas e dados presentes nos veículos conectados.
Imagem: BYD / Divulgação
Por: Valdir Antonelli
