Preocupado com a possibilidade de o seu carro ser atacado por hackers? Devia estar, seja qual for a marca

Os automóveis modernos transformaram-se em autênticos computadores sobre rodas. Estão ligados à internet, recebem atualizações remotamente, comunicam com servidores dos fabricantes e podem guardar informação sobre os locais por onde passamos. E tudo isso significa também que podem ser atacados por hackers.
⠀
O risco não depende de o carro ser elétrico, híbrido ou a combustão. E também não desaparece por ter sido fabricado na Europa, nos EUA, na China ou noutro lugar.
⠀
É precisamente esse o alerta deixado por Dennis B. Desmond, professor de Ciberinteligência e Investigação de Cibercrime na University of the Sunshine Coast, num artigo publicado no ‘The Conversation’: qualquer automóvel conectado pode apresentar vulnerabilidades.
⠀
Um caso recente mostrou até onde o problema pode chegar. A ‘ABC’ revelou que um especialista em cibersegurança conseguiu atacar informaticamente um BYD Shark 6 e assumir o controlo das fechaduras, faróis e sistemas de áudio e imagem. Segundo o especialista, a tarefa foi “mais fácil do que esperávamos”.
⠀
O caso surgiu acompanhado de preocupações sobre a quantidade de informação recolhida por automóveis da BYD e de outros fabricantes chineses e sobre a possibilidade de esses dados, incluindo áudio, imagem e localização, poderem ser acedidos pelas autoridades chinesas.
⠀
Mas Desmond chama a atenção para uma questão mais abrangente: praticamente todos os automóveis modernos recolhem grandes quantidades de informação pessoal e muitos transmitem esses dados para servidores localizados noutros países. E não são apenas os governos que podem tentar chegar a essa informação. Os hackers também podem fazê-lo.
⠀
Um carro moderno é uma rede de computadores sobre rodas
⠀
Um automóvel atual pode conter dezenas de computadores responsáveis por diferentes funções. Alguns tratam do entretenimento e das comunicações, enquanto outros estão associados aos travões, direção, funcionamento do motor, sensores ou sistemas de assistência à condução.
⠀
Todos estes sistemas comunicam entre si e alguns estabelecem ligações com o exterior.
⠀
Bluetooth e Wi-Fi permitem ligar telemóveis e outros dispositivos ao veículo. Um cartão SIM ou eSIM integrado pode ligar diretamente o próprio automóvel à internet, às redes móveis e aos sistemas informáticos do fabricante.
⠀
Muitos carros recebem ainda atualizações de software remotamente, através das chamadas atualizações “over-the-air”.
⠀
A cibersegurança automóvel deixou, por isso, de significar apenas proteger um veículo individual. Os fabricantes precisam também de garantir a segurança das infraestruturas que comunicam com milhares ou milhões de automóveis e distribuem software por toda a frota.
⠀
Por onde pode entrar um hacker?
⠀
O cartão SIM ou eSIM não é, normalmente, a vulnerabilidade. É antes uma das portas de acesso a uma cadeia muito maior que envolve o modem do automóvel, sistemas telemáticos, operadores móveis e a infraestrutura online do fabricante.
⠀
É ao longo dessa cadeia que podem surgir fragilidades.
⠀
Investigadores já encontraram vulnerabilidades enquanto analisavam modelos como o Tesla Model 3 e o Cybertruck. Segundo o especialista, é provável que problemas semelhantes existam noutros automóveis.
⠀
Há ainda uma dificuldade particular na indústria automóvel. Um carro pode permanecer em circulação durante muitos anos, utilizando tecnologias que envelhecem enquanto continua ligado à internet e depende de uma cadeia complexa de fornecedores e sistemas.
⠀
Um atacante pode, assim, tentar explorar tanto a ligação móvel do próprio veículo como os sistemas informáticos do fabricante.
⠀
O que pode acontecer se alguém conseguir entrar?
⠀
Os investigadores de cibersegurança têm demonstrado que as possibilidades vão bastante além de interferir com o sistema multimédia.
⠀
Em agosto, a Kaspersky identificou uma campanha de malware dirigida a unidades centrais de entretenimento baseadas no sistema operativo Android. O ataque utilizava um serviço automático de atualização de firmware.
⠀
Também já foram demonstradas diferentes formas de atacar automóveis que utilizam o sistema operativo QNX, comum na indústria automóvel.
⠀
Noutro caso, investigadores conseguiram contornar proteções antirroubo e explorar vulnerabilidades do Bluetooth para obter acesso profundo aos sistemas de um Nissan Leaf.
⠀
As consequências potenciais dependem naturalmente da vulnerabilidade explorada e do nível de acesso conseguido. Mas, se um atacante chegar a funções associadas à iluminação ou à direção, podem existir riscos para a segurança física.
⠀
O acesso indevido também pode ser utilizado para roubar o automóvel ou informação pessoal.
⠀
E há outra informação valiosa: saber onde esteve
⠀
Os dados recolhidos pelos carros conectados constituem outra parte do problema.
⠀
Históricos de viagens, dados de geolocalização e aplicações associadas ao veículo podem ser utilizados para acompanhar os movimentos de uma pessoa. Dependendo do automóvel, as funções remotas podem ainda permitir operar portas, climatização, buzina, faróis e outros equipamentos.
⠀
O comissário australiano para a segurança online já identificou os veículos conectados entre as tecnologias que podem facilitar situações de controlo coercivo, precisamente devido à capacidade de localização e operação remota.
⠀
É por isso que Desmond considera que o país onde um automóvel foi fabricado pode ser um fator a ponderar, mas não deve ser confundido com uma garantia de segurança.
⠀
O problema fundamental é mais amplo: quanto maior for a conectividade de um veículo, maior é a superfície tecnológica que precisa de ser protegida.
⠀
Europa já exige medidas de cibersegurança
⠀
A regulamentação também não é igual em todos os mercados.
⠀
A Austrália, onde se centra o artigo do ‘The Conversation’, não tem atualmente uma norma mínima obrigatória de cibersegurança especificamente destinada aos automóveis, e a adoção de novas regras poderá ainda demorar vários anos.
⠀
Outros mercados, incluindo a China e a União Europeia, já exigem aos fabricantes que demonstrem como gerem riscos de cibersegurança e protegem as atualizações de software ao longo da vida dos veículos.
⠀
Para Desmond, quanto mais conectados ficam os automóveis, mais importante se torna fazer duas perguntas: não apenas que informação está a sair do carro, mas também o que pode conseguir entrar através dessas mesmas ligações.
⠀
O que pode fazer para reduzir o risco?
⠀
Evitar completamente os riscos associados à cibersegurança e à privacidade num automóvel conectado é cada vez mais difícil. Mas existem cuidados que podem reduzir a exposição.
⠀
O Australian Cyber Security Centre recomenda manter atualizado o software do automóvel e das aplicações associadas, pesquisar a forma como o fabricante aborda a cibersegurança e avaliar os riscos antes de utilizar serviços conectados.
⠀
Há ainda um cuidado especialmente importante na compra ou venda de um automóvel usado: repor o veículo nas definições de fábrica, eliminando contas, dispositivos e informação pessoal que possam ter ficado associados ao anterior proprietário.
⠀
A origem do automóvel pode entrar na equação, mas está longe de contar toda a história. À medida que os carros ganham ligações permanentes à internet, aplicações e funções controladas remotamente, a segurança deixa de depender apenas de uma chave e de portas trancadas. Há agora todo um sistema informático que também precisa de ficar fechado a quem não deve entrar.