Норвежки експерти по киберсигурност откриха сериозни уязвимости в електрически автобуси на китайския производител Yutong, които при определени условия биха могли да позволят дистанционна намеса в работата на превозните средства. Констатациите са част от независим одит, възложен от обществения транспортен оператор Ruter, и вече предизвикаха проверки в други европейски държави.

Проверката е установила, че автобусите използват система за дистанционни софтуерни актуализации (Over-the-Air - OTA), като комуникацията с производствените системи се осъществява чрез мобилна връзка, включително с румънска SIM карта. Според доклада производителят разполага с разширени права за диагностика и обновяване на софтуера.

Експертите предупреждават, че архитектурата на системата създава възможност при компрометиране на достъпа или при злоупотреба с административните права автобусите теоретично да бъдат изведени от експлоатация или да бъде възпрепятствана нормалната им работа. В анализа се посочва също, че подобни уязвимости могат да бъдат използвани не само от производителя, но и от трети страни при успешна кибератака.

От норвежкия оператор подчертават, че по време на проверката не са открити доказателства подобен механизъм да е бил използван на практика, нито че съществува умишлено поставена "задна вратичка" в полза на китайските власти. Въпреки това компанията определя риска като достатъчно сериозен, за да предприеме допълнителни мерки за защита на комуникацията с автобусите и за контрол върху бъдещите софтуерни актуализации.

Темата придоби допълнителна актуалност на фона на засилените опасения в Европа относно сигурността на критичната инфраструктура. След публикуването на норвежкия доклад проверки започнаха и в Дания и Великобритания, където властите анализират дали подобни рискове съществуват и при използваните там китайски автобуси.

Експерти по киберсигурност отбелязват, че случаят поставя по-широк въпрос за свързаните превозни средства и зависимостта им от дистанционно управлявани системи. Според тях подобни рискове не са характерни само за китайските производители, но придобиват и геополитическо измерение, когато става дума за техника, използвана в обществения транспорт и друга критична инфраструктура.

В България автобуси Yutong се използват в София, Габрово, Плевен и други градове. Към момента няма публично оповестени данни българските превозни средства да са били проверявани за същите уязвимости или да са установени подобни проблеми.

Специалистите подчертават, че не може да се твърди, че автобусите в България могат да бъдат дистанционно спрени едновременно или че подобен сценарий е възможен при сегашната им конфигурация. Те обаче отбелязват, че ако превозните средства използват сходна комуникационна архитектура и разполагат с аналогични административни функции, подобен риск не може да бъде изключен без независим технически одит.

Случаят отново насочва вниманието към необходимостта киберсигурността да бъде основен критерий при обществените поръчки за транспортна, енергийна и друга критична инфраструктура, наред с цената и техническите характеристики на оборудването.