Os automóveis modernos estão cada vez mais próximos de computadores sobre rodas. E isso significa que, além das avarias mecânicas e eletrónicas tradicionais, há um novo risco a considerar: alguém conseguir entrar no sistema do carro e assumir o controlo de algumas das suas funções.
Foi precisamente isso que investigadores da empresa australiana de cibersegurança Fortify Labs conseguiram fazer com um BYD Shark 6.
Segundo a ‘L’Automobile Magazine’, a equipa explorou uma vulnerabilidade no sistema de infoentretenimento DiLink da BYD, baseado em Android, conseguindo obter acesso remoto ao veículo. A experiência permitiu localizar o automóvel, aceder ao microfone do habitáculo e controlar algumas funções, incluindo os faróis e os limpa-para-brisas.
A BYD reagiu rapidamente e corrigiu as vulnerabilidades identificadas. Mas a experiência levanta uma questão que vai muito além da fabricante chinesa.
Um BYD Shark 6 preparado para ser atacado
O ataque não foi realizado contra o automóvel de um condutor desprevenido. A Fortify Labs utilizou um BYD Shark 6 de 2025 pertencente à própria empresa e definiu condições específicas para perceber até onde seria possível chegar.
Antes dos testes, a pick-up recebeu todas as atualizações disponibilizadas pela BYD. O cartão SIM fornecido pela fabricante foi depois retirado, de forma a garantir que os serviços online da marca não seriam afetados durante a experiência.
O veículo tinha também ativado o acesso aos serviços conectados disponibilizados pela fabricante, condição necessária para a realização do teste.
A Fortify Labs não se limitou a divulgar as conclusões. O ataque foi demonstrado no programa “Four Corners”, da televisão australiana ‘ABC’, dando visibilidade a um problema que acompanha a crescente digitalização dos automóveis.
Há uma limitação importante: era preciso entrar primeiro no carro
Apesar do impacto da demonstração, há uma diferença importante entre esta experiência e um ataque realizado em condições normais.
Para conseguir assumir posteriormente o controlo remoto de algumas funções, os investigadores tiveram primeiro de ter acesso físico ao interior do BYD.
A vulnerabilidade existente no sistema de infoentretenimento permitia instalar uma aplicação de terceiros, mas essa instalação tinha de ser feita a partir do próprio automóvel. O mesmo acontecia com as permissões necessárias para aceder à localização do veículo ou ao microfone: tinham de ser concedidas presencialmente através da interface do carro.
Ou seja, um atacante localizado a milhares de quilómetros não poderia simplesmente escolher um BYD Shark 6 na rua e assumir o seu controlo através da Internet.
Sem acesso prévio ao habitáculo, o ataque demonstrado pela Fortify Labs não seria possível.
Isso reduz consideravelmente o risco de exploração maliciosa da vulnerabilidade, embora não o elimine completamente. Existem técnicas que permitem obter acesso a determinados automóveis sem partir uma janela ou forçar uma fechadura, nomeadamente através de ataques que imitam ou retransmitem o sinal de uma chave.
O verdadeiro alerta pode ir muito além da BYD
É precisamente aqui que a experiência ganha uma dimensão maior.
O BYD Shark 6 foi o automóvel utilizado pela Fortify Labs, e a BYD já implementou as correções necessárias, mas os investigadores chamam a atenção para um problema transversal à indústria.
O sistema DiLink utiliza como base o Android, uma plataforma que, sob diferentes configurações e adaptações, está presente em sistemas de infoentretenimento de numerosos fabricantes.
Isto não significa que todos esses automóveis tenham a mesma vulnerabilidade encontrada no BYD. Significa, porém, que a crescente utilização de plataformas informáticas comuns cria novos desafios de cibersegurança e torna essencial que fabricantes e fornecedores identifiquem e corrijam rapidamente eventuais falhas.
Quanto mais funções de um automóvel estão ligadas ao software e à conectividade, maior é também a superfície potencial de ataque.
Carros sabem cada vez mais sobre quem vai lá dentro
Há ainda outra questão levantada pela experiência australiana: a quantidade de informação a que um automóvel moderno pode ter acesso.
Localização, microfones, ligações do telemóvel, hábitos de utilização e diferentes dados produzidos pelos sistemas do veículo transformam os automóveis conectados numa fonte cada vez maior de informação sobre os seus utilizadores.
O caso do BYD Shark 6 mostra, por isso, duas faces da mesma evolução tecnológica. A conectividade permite controlar remotamente funções, receber atualizações e acrescentar novos serviços ao automóvel, mas obriga também os fabricantes a tratar a cibersegurança como uma componente essencial da segurança do próprio veículo.
Neste caso, a vulnerabilidade foi identificada por investigadores, num automóvel preparado para o teste e com acesso físico prévio ao habitáculo. A BYD corrigiu-a.
O alerta que ficou é mais abrangente: à medida que os automóveis se tornam computadores permanentemente conectados, protegê-los já não significa apenas impedir que alguém consiga abrir uma porta.
