Haker przejął BYD-a i podsłuchiwał kierowcę. Wszystko się nagrało

Australijski reportaż śledczy ujawnił krytyczne luki w zabezpieczeniach współczesnych pojazdów podłączonych do sieci: niezależny haker bez trudu przejął kontrolę nad samochodem marki BYD, zaryglował drzwi w trakcie jazdy, podsłuchiwał rozmowy przez fabryczny mikrofon, a przechwycony głos wykorzystał do włamania się do smartfona kierowcy. Eksperyment przeprowadzony na hybrydowym pick-upie BYD Shark 6 wstrząsnął opinią publiczną w Australii i nadał nową dynamikę międzynarodowej dyskusji o cyberbezpieczeństwie oraz ryzyku wywiadowczym związanym z ekspansją chińskich platform motoryzacyjnych.

Sprawa ujrzała światło dzienne za sprawą śledztwa zatytułowanego „Asleep at the Wheel”, wyemitowanego w programie Four Corners na antenie australijskiej stacji ABC News. Twórcy materiału skoncentrowali się na ocenie poziomu ochrony prywatności i podatności cyfrowych dwóch czołowych chińskich marek: BYD oraz Xpeng. Współczesne pojazdy naszpikowane są dziesiątkami kamer, radarów, czujników telemetrycznych, modułów GPS oraz stałymi łączami internetowymi 4G i 5G. W praktyce stają się one zaawansowanymi centrami gromadzenia danych na kółkach, a poziom zabezpieczenia ich wewnętrznych sieci budzi coraz poważniejsze zastrzeżenia ekspertów.

Anatomia ataku: od ryglowania drzwi po podsłuch kabinowy

Kluczowy etap dziennikarskiego śledztwa opierał się na praktycznym teście penetracyjnym. Australijski ekspert ds. cyberbezpieczeństwa pojazdów Dan Hreszczuk, współzałożyciel firmy Fortify Labs z Canberry, otrzymał do dyspozycji model BYD Shark 6 na dwa tygodnie. Zadanie polegało na zweryfikowaniu, czy osoba z zewnątrz jest w stanie uzyskać nieautoryzowany dostęp do architektury elektronicznej auta.

Rezultaty okazały się alarmujące. Hreszczuk odnalazł lukę w oprogramowaniu, która umożliwiła mu bezpośrednie podpięcie się do wewnętrznej magistrali CAN bus. Jak sam przyznał, do sforsowania bariery ochronnej nie musiał nawet łamać żadnych haseł – producent pozostawił cyfrowy punkt dostępu bez elementarnego uwierzytelnienia, co specjalista podsumował jako „zostawienie otwartych drzwi wejściowych”.

Podczas kontrolowanej próby na drodze w okolicach Canberry reporter stacji ABC News Angus Grigg prowadził pojazd, podczas gdy Dan Hreszczuk za pomocą laptopa zdalnie ingerował w pracę pokładowych podzespołów. Haker był w stanie:

• zaryglować zamki drzwi od zewnątrz, uniemożliwiając kierowcy ich otwarcie,
• uruchomić na maksymalną głośność system audio oraz wyświetlać wybrane grafiki na centralnym ekranie systemu infotainment,
• sterować wycieraczkami oraz spryskiwaczami szyb w trakcie jazdy,
• przejąć kontrolę nad zewnętrznym oświetleniem pojazdu, włączając, wyłączając lub powodując miganie reflektorów,
• aktywować zainstalowane w podsufitce mikrofony i transmitować dźwięk z wnętrza kabiny na żywo.

Choć luka nie pozwalała na bezpośrednią ingerencję w mechaniczny układ kierowniczy ani hydraulikę hamulców, nagłe oślepienie kierowcy światłami, zalanie szyby płynem czy ogłuszający hałas przy zablokowanych drzwiach stwarzają bezpośrednie zagrożenie wypadkiem drogowym.

Przechwycenie Siri i dostęp do telefonu premiera

Najbardziej spektakularny element eksperymentu pokazał, jak podatność w systemie pojazdu może stać się pomostem do przejęcia prywatnych danych ze smartfona kierowcy. Dan Hreszczuk nagrał za pośrednictwem pokładowego mikrofonu wypowiedzi dziennikarza, a następnie odtworzył przez głośniki auta wygenerowaną z próbek komendę „Hey Siri”.

Sparowany z pokładowym systemem iPhone dziennikarza zinterpretował dźwięk jako polecenie właściciela. Następnie haker, wydając dalsze komendy głosowe symulowanym głosem, uzyskał wgląd do wrażliwych zasobów telefonu. Z urządzenia wydobyto datę urodzenia użytkownika, prywatny numer telefonu oraz zawartość książki adresowej. Wśród ujawnionych kontaktów znajdował się między innymi bezpośredni, niepubliczny numer telefonu do urzędującego premiera Australii.

Eksperyment unaocznił, że w erze bezprzewodowej integracji smartfonów z pojazdami luka w oprogramowaniu samochodu automatycznie kompromituje bezpieczeństwo podłączonych urządzeń mobilnych.

Telemetria Xpeng G6 i transfer danych do Chin

W tym samym reportażu stacja ABC News zbadała również elektrycznego SUV-a Xpeng G6. W tym przypadku anonimowy informator zademonstrował możliwość ciągłego śledzenia parametrów pojazdu w czasie rzeczywistym. Na ekranie komputera widoczne były nie tylko bieżące koordynaty GPS i dokładna prędkość auta, lecz także kąt obrotu koła kierownicy oraz sensory nacisku foteli, wskazujące ilu pasażerów znajduje się w środku.

Autorzy programu wskazali, że część tych szczegółowych danych telemetrycznych trafia bezpośrednio na serwery zlokalizowane na terytorium Chin. Zgodnie z chińskim prawem o wywiadzie narodowym (National Intelligence Law) tamtejsze podmioty gospodarcze mają prawny obowiązek współpracy ze służbami specjalnymi ChRL w razie wystosowania takiego żądania, co budzi obawy o wykorzystanie floty komercyjnej do masowego profilowania infrastruktury drogowej i przemieszczania się obywateli państw zachodnich.

Politycy w chińskich autach i reakcja Wojska Polskiego

Sprawa wywołała w Australii burzę polityczną, gdyż z chińskich samochodów korzystają czołowi członkowie gabinetu: minister handlu Don Farrell jeździ prywatnie modelem BYD Shark 6, natomiast minister klimatu i energii Chris Bowen porusza się autem Xpeng G6. Choć australijskie agencje bezpieczeństwa od dłuższego czasu ostrzegają urzędników państwowych przed prowadzeniem poufnych rozmów wewnątrz pojazdów oraz przed parowaniem telefonów służbowych, w kraju wciąż brak jednolitych przepisów regulujących cyberbezpieczeństwo aut.

Przedstawiciele BYD Australia poinformowali o wszczęciu wewnętrznego śledztwa we współpracy z chińską centralą marki w celu załatania wykrytych podatności poprzez zdalną aktualizację oprogramowania (OTA). Firma zaznaczyła równocześnie, że powtórzenie ataku w warunkach drogowych wymagało wstępnego, fizycznego dostępu do auta w celu wpięcia narzędzi diagnostycznych.

Podczas gdy rządy wielu państw dopiero debatują nad uregulowaniem rynku skomunikowanych aut, służby mundurowe przechodzą do twardych restrykcji. W Polsce w lutym 2026 r. szef Sztabu Generalnego Wojska Polskiego gen. Wiesław Kukuła wprowadził bezwzględny zakaz wjazdu samochodów wyprodukowanych w Chińskiej Republice Ludowej na tereny chronionych jednostek i obiektów wojskowych. Wojsko zakazało ponadto parowania telefonów służbowych z systemami infotainment w pojazdach chińskiego pochodzenia. Podobne kroki wdrożyła Służba Ochrony Państwa. Przypadek z Canberry dowodzi, że obawy wojskowych analityków przed mobilnym podsłuchem nie są przesadzoną ostrożnością, lecz realnym scenariuszem współczesnych cyberzagrożeń.