In questo articolo Indice dei contenuti 2 sezioni
Bastano due settimane e nessuna password per entrare nei sistemi digitali di BYD Shark 6, il pickup ibrido che in Australia è diventato uno dei modelli più richiesti del momento. A dimostrarlo è stata un’indagine condotta proprio nel Paese, che ha messo sotto pressione le difese informatiche del veicolo e ha portato alla luce vulnerabilità piuttosto preoccupanti. Il tema è quello della sicurezza informatica delle auto connesse, che con l’arrivo dell’elettrificazione assomigliano sempre di più a computer su ruote e, come qualsiasi computer, possono essere violate.
Dietro l’esperimento c’è Dan Hreszczuk, cofondatore della società Fortify Labs ed esperto specializzato nel settore automotive. L’obiettivo era semplice da spiegare e un po’ meno da realizzare: provare a penetrare i sistemi della vettura per capire cosa si potesse controllare a distanza. Il risultato ha sorpreso anche lui, perché l’accesso alle reti interne del pickup non era protetto da alcuna password. Secondo Hreszczuk non c’è stato nemmeno bisogno di forzare la serratura, visto che BYD aveva lasciato la porta principale aperta.
Fari spenti in curva e tergicristalli impazziti
La parte più impressionante è arrivata durante una prova su strada nei dintorni di Canberra. Con un semplice comando inviato dal proprio portatile, l’hacker è riuscito a interferire con diverse funzioni del veicolo in movimento. Ha spento all’improvviso i fari mentre l’auto affrontava una curva, lasciando chi guidava completamente al buio. Ha fatto partire i tergicristalli alla massima velocità spruzzando acqua sul parabrezza, ha bloccato le portiere e ha mandato musica e immagini sullo schermo dell’infotainment. Non solo. Ha persino fatto parlare l’impianto audio, imponendo messaggi vocali rivolti direttamente al conducente.
Per fortuna l’attacco si è fermato ai sistemi di servizio. Le funzioni critiche per l’incolumità degli occupanti, come freni e telecamere, sono risultate ben protette e fuori portata. Questo però non rende la faccenda meno seria, perché basta immaginare cosa potrebbe succedere ad alta velocità se qualcuno con cattive intenzioni facesse calare il buio totale o scatenasse i tergicristalli nel momento sbagliato. Una distrazione del genere, alla guida, può bastare e avanzare.
Microfono attivato a distanza e il trucco con Siri
Un secondo test ha spostato l’attenzione sulla privacy e sui rischi di sorveglianza. Hreszczuk ha acceso da remoto il microfono dell’abitacolo e ha ascoltato una telefonata in cui il guidatore spiegava la formula usata per creare una password bancaria provvisoria, ottenuta combinando iniziali, numero civico e data di nascita.
A quel punto è entrato in gioco l’assistente vocale Siri dello smartphone lasciato a bordo. L’hacker ha riprodotto attraverso le casse dell’auto la registrazione del guidatore che pronunciava “Ehi Siri”, agganciandola alla propria voce che poneva domande ben precise. Il telefono non ha colto la differenza e ha fornito tranquillamente indirizzo di casa e data di nascita del proprietario. Con quei dati ricostruire la password bancaria è stata questione di pochi minuti. Allo stesso modo l’esperto è riuscito a recuperare numeri di telefono pescandoli direttamente dalla rubrica.
Il caso australiano si inserisce in una discussione molto più ampia sulla sicurezza nazionale legata ai veicoli connessi. La paura di possibili intercettazioni ha già spinto diversi governi a prendere contromisure. Il Regno Unito, per esempio, ha vietato di parcheggiare auto cinesi vicino ai siti militari più sensibili, una mossa che ricalca quella adottata in passato da Pechino nei confronti delle vetture straniere. Le agenzie di intelligence occidentali, intanto, sconsigliano a ministri e funzionari di affrontare conversazioni riservate a bordo di questi modelli.
Dal canto suo BYD respinge con decisione qualsiasi accusa di cyberspionaggio. Il costruttore assicura che i dati telematici vengono conservati esclusivamente su server locali e garantisce di non aver mai condiviso le informazioni dei clienti esteri con le autorità cinesi.
Fonte: TecnoAndroid