В связи с быстрым ростом числа подключенных автомобилей и вовлеченности в процесс продаж и эксплуатации большого числа участников цепочки поставок автопроизводителям (OEM) необходимо пересмотреть свои подходы к информационной безопасности. Количество инцидентов, связанных с атаками на инфраструктуру ОЕМ постоянно растет и их последствия становятся более масштабными.
В этом выпуске:
А также, безусловно, даем наши рекомендации по совершенствованию кибербезопасности автомобилей.
Поскольку за последние десятилетия использование электроники в транспортных средствах стало повсеместным, изменились и возможности автомобилей по мониторингу и фиксации того, что происходит внутри и снаружи автомобиля. Подключенные автомобили способны обмениваться такой информацией с другими устройствами, в том числе с другими транспортными средствами, через интернет. Их число быстро растет, и они являются частью более крупной экосистемы интернета вещей (IoT).
Прогнозируется, что к 2025 году в эксплуатации будет более 400 миллионов подключенных автомобилей по сравнению с примерно 237 миллионами в 2021 году. В 2020 году во всем мире было продано около 30 миллионов новых подключенных автомобилей, что составляет около 41% от всех продаж новых автомобилей. Ожидается, что к 2030 году 96% всех проданных новых автомобилей будут подключены к сети. В условиях стремительного роста цифровизации автомобильной промышленности произошел значимый перелом и в подходах к кибербезопасности.
Раньше безопасность автомобиля, сошедшего с конвейера, рассматривалась отдельно, а безопасность инфраструктуры производителя — отдельно. Сейчас, когда автомобиль после выхода на дорогу продолжает быть тесно связан с инфраструктурой производителя (подключенные авто), необходимо рассматривать безопасность распределенной информационной системы в целом.
Основными элементами инфраструктуры автопроизводителя (OEM) являются облачные сервисы, включающие управление автопарком (Fleet Management System), телематические сервисы, обновления и диагностику по воздуху (Over-The-Air, OTA). Зачастую эти сервисы предоставляются сторонними компаниями. Помимо этого, OEM также использует серверные системы, связанные с производственными процессами, разработкой и поддержкой эксплуатации, а также рабочие места сотрудников, которые не всегда должным образом изолированы друг от друга.
Все элементы этой системы сегодня взаимосвязаны, оказывают влияние друг на друга и часто имеют слабые места в системах защиты, которыми могут воспользоваться злоумышленники.
Доверие по умолчанию бекэнда OEM к данным, поступающим от автомобиля, и, наоборот, безусловное доверие автомобиля к дистанционным командам от инфраструктуры автопроизводителя, может приводить к возникновению киберинцидентов.
Эта новая реальность подтверждается множеством кейсов, например, случай взлома компании Toyota, опубликованный в августе этого года. Хакеры похитили 240 ГБ данных из американского подразделения Toyota, включая информацию о сотрудниках, клиентах, контрактах и даже сетевой инфраструктуре компании. Этот случай иллюстрирует, как уязвимость на уровне одного из элементов инфраструктуры автопроизводителя может привести к утечке конфиденциальных данных и компрометации сетевых систем компании. Полной информации об инциденте до сих пор не опубликовано, поэтому о его масштабах можно только догадываться.
Важно понимать, что Тоyota уже не в первый раз сталкивается с серьезными инцидентами. В 2023 году вымогательская группа Medusa атаковала их дочернюю компанию, Toyota Financial Services, компрометировав конфиденциальную и финансовую информацию клиентов. А летом того же года было обнаружено, что из одного из облачных сервисов Toyota в течение 10 лет утекли данные о двух миллионах автомобилей и их владельцах. Автопроизводителю могут быть выставлены огромные штрафы за нарушения требований Общего регламента по защите данных (General Data Protection Regulation, GDPR), а владельцы авто могут подвергаться, например, повышенным рискам угона машин в случае утечки данных об их поездках.
При этом компания Toyota не единственный автопроизводитель, подвергающийся масштабным атакам на свою инфраструктуру. На сегодня нет опубликованных данных, что злоумышленникам удавалось получить доступ к серверам управления флотом автомобилей одного из автопроизводителей, однако исследователи фиксируют явный рост инцидентов в этой области.
Например, подобные уязвимости были найдены и продемонстрированы этичными хакерами в 2023 году в кейсе с телематическим блоком (T-Box) HopeChart HQT401.
Компания HopeChart IoT Technology производит T-Box устройства для управления автопарком и телематическими данными. Эти электронные блоки управления используются как на заводах-изготовителях грузовиков, так и на рынке послепродажного обслуживания (aftermarket) для уже выпущенных автомобилей. Одним из примеров использования T-Box является сотрудничество с Sany, третьим по величине производителем тяжелого оборудования в мире, который выпускает более ста тысяч экскаваторов ежегодно. Телематические блоки позволяют эффективно управлять телематикой и мониторингом техники, что критично для обеспечения высокой производительности и сокращения эксплуатационных затрат.
Энтузиастам удалось получить доступ к телематическим данным всех блоков, а впоследствии и к MQTT-серверу управления флотом на стороне компании Sany. MQTT-сервер используется для передачи телеметрических данных и получения команд, выступая посредником во время взаимодействия устройств интернета вещей (IoT) друг с другом. В процессе тестирования было обнаружено, что сервер не использовал аутентификацию и шифрование для подключения, что позволило исследователям получить доступ к данным всех автомобилей автопарка, подключенных к этому серверу, включая идентификацию транспортных средств по ICCID (Integrated Circuit Card Identifier, идентификатор SIM-чипа). Исследователи смогли не только наблюдать за телеметрией всех транспортных средств, но и отправлять команды, маскируясь под любое из этих транспортных средств или под сам бэкэнд на стороне автопроизводителя. Обнаруженная уязвимость позволяла видеть такие данные, как положение GPS, скорость, обороты двигателя, уровень топлива и другие метрики, а также диагностические ошибки и CAN-трафик, передаваемые при определенных событиях.
Устройства от HopeChart применяются на грузовиках таких производителей, как JMMC, который производит большое количество транспортных средств для внутренних и международных рынков, а также Beiben Truck, Sinotruk, и других крупных игроков отрасли, включая как китайских, так и европейских производителей. Нужно отметить, что достоверно неизвестно, в каком объеме и для каких конкретно моделей авто были использованы уязвимые ЭБУ HopeChart HQT401, однако их широкое применение говорит о рисках кибератак с серьезными последствиями.
Тревожное положение дел подтверждают и аналитики безопасности. В отчете Upstream за 2024 год фиксируется значительный рост атак на серверы телематики и инфраструктуру внутренних серверов OEM:
В 2023 году в экосистеме автомобильной и интеллектуальной мобильности резко возросло количество инцидентов, направленных против внутренних серверов (телематики, приложений и т.д.), а также информационно-развлекательных систем. Число инцидентов, связанных с серверами, выросло с 35% в 2022 году до 43% в 2023 году; количество инцидентов, связанных с информационно-развлекательной системой, увеличилось почти вдвое, увеличившись с 8% в 2022 году до 15% в 2023 году.
Также в отчете Upstream отмечено, что с развитием программно-определяемых автомобилей (Software-defined vehicles, SDV) и увеличением количества подключенных транспортных средств, угрозы кибератак продолжают расти. В 2023 году 95% всех атак на автомобильные системы были удаленными, причем 85% из них были длительного действия.
Важно подчеркнуть, что количество атак с широким воздействием увеличилось в 2,5 раза. Это подчеркивает, что атаки на автомобили могут приводить к масштабным последствиям, одновременно затрагивая миллионы транспортных средств и пользователей в разных странах.
Надо отметить, что в силу особенностей инфраструктуры в транспортной отрасли (как и в промышленности в целом) часто не внедрены меры кибербезопасности, которые в других областях уже давно широко применяются и считаются абсолютно необходимыми, в частности контроль и разграничение доступа клиентов к облачным сервисам и облачных сервисов к клиентскому ПО.
Первое, что необходимо внедрить в новую парадигму кибербезопасности для подключенных транспортных средств — это строгая политика авторизации каждой команды, поступающей в адрес автомобиля из облачной инфраструктуры. Полное доверие к дистанционным командам или данным от автомобиля может привести к серьезным инцидентам. Все данные должны проходить через системы управления идентификационными данными и контроля доступа (Identity and Access Management, IAM) на уровне автомобиля.
Также данные о командах должны анализироваться в центре операций по безопасности автомобиля (Vehicle Security Operation Center, VSOC). VSOC позволяет в реальном времени отслеживать кибератаки и предотвращать их последствия, предоставляя специалистам по безопасности актуальную информацию об инцидентах и угрозах.
Внедрив эти меры безопасности, автопроизводители могут улучшить защиту как инфраструктуры, так и подключенных транспортных средств, минимизируя риск атак и утечек данных. Детально требования к кибербезопасности транспортных средств сформулированы в нормативном акте ООН UN R155, причем с июля 2024 года эти требования являются обязательными для всех новых транспортных средств. Подводя итоги, можно сказать, что растущая взаимосвязь автомобилей с облачными инфраструктурами однозначно требует пересмотра текущих подходов к кибербезопасности. Автопроизводители должны активно внедрять политики строгой авторизации, развивать мониторинг и реагирование на инциденты в реальном времени через VSOC, а также уделять внимание защите как транспортных средств, так и их сетевой инфраструктуры, чтобы противостоять растущим угрозам.
Специалисты «Лаборатории Касперского» помогут разобраться, как наладить и внедрить процессы кибербезопасности в организациях-участниках цепочки поставок автотранспорта с опорой на актуальные требования международных стандартов и нормативных актов.
На стадии проектирования новых авто многие аспекты кибербезопасности могут быть учтены на уровне архитектуры уже на первых этапах создания автомобиля с помощью централизованного шлюза безопасности Kaspersky Automotive Secure Gateway (KASG). Шлюз реализует функции двусторонней аутентификации при связи с облаком автопроизводителя и авторизации любых внешних команд по управлению автомобилем. Это существенно снижает вероятность взлома и несанкционированного доступа к автомобилю, и далее к объектам информационной инфраструктуры производителя.
В связи с быстрым ростом числа подключенных автомобилей и вовлеченности в процесс продаж и эксплуатации большого числа участников цепочки поставок автопроизводителям (OEM) необходимо пересмотреть свои подходы к информационной безопасности. Количество инцидентов, связанных с атаками на инфраструктуру ОЕМ постоянно растет и их последствия становятся более масштабными.
В этом выпуске:
А также, безусловно, даем наши рекомендации по совершенствованию кибербезопасности автомобилей.
Поскольку за последние десятилетия использование электроники в транспортных средствах стало повсеместным, изменились и возможности автомобилей по мониторингу и фиксации того, что происходит внутри и снаружи автомобиля. Подключенные автомобили способны обмениваться такой информацией с другими устройствами, в том числе с другими транспортными средствами, через интернет. Их число быстро растет, и они являются частью более крупной экосистемы интернета вещей (IoT).
Прогнозируется, что к 2025 году в эксплуатации будет более 400 миллионов подключенных автомобилей по сравнению с примерно 237 миллионами в 2021 году. В 2020 году во всем мире было продано около 30 миллионов новых подключенных автомобилей, что составляет около 41% от всех продаж новых автомобилей. Ожидается, что к 2030 году 96% всех проданных новых автомобилей будут подключены к сети. В условиях стремительного роста цифровизации автомобильной промышленности произошел значимый перелом и в подходах к кибербезопасности.
Раньше безопасность автомобиля, сошедшего с конвейера, рассматривалась отдельно, а безопасность инфраструктуры производителя — отдельно. Сейчас, когда автомобиль после выхода на дорогу продолжает быть тесно связан с инфраструктурой производителя (подключенные авто), необходимо рассматривать безопасность распределенной информационной системы в целом.
Основными элементами инфраструктуры автопроизводителя (OEM) являются облачные сервисы, включающие управление автопарком (Fleet Management System), телематические сервисы, обновления и диагностику по воздуху (Over-The-Air, OTA). Зачастую эти сервисы предоставляются сторонними компаниями. Помимо этого, OEM также использует серверные системы, связанные с производственными процессами, разработкой и поддержкой эксплуатации, а также рабочие места сотрудников, которые не всегда должным образом изолированы друг от друга.
Все элементы этой системы сегодня взаимосвязаны, оказывают влияние друг на друга и часто имеют слабые места в системах защиты, которыми могут воспользоваться злоумышленники.
Доверие по умолчанию бекэнда OEM к данным, поступающим от автомобиля, и, наоборот, безусловное доверие автомобиля к дистанционным командам от инфраструктуры автопроизводителя, может приводить к возникновению киберинцидентов.
Эта новая реальность подтверждается множеством кейсов, например, случай взлома компании Toyota, опубликованный в августе этого года. Хакеры похитили 240 ГБ данных из американского подразделения Toyota, включая информацию о сотрудниках, клиентах, контрактах и даже сетевой инфраструктуре компании. Этот случай иллюстрирует, как уязвимость на уровне одного из элементов инфраструктуры автопроизводителя может привести к утечке конфиденциальных данных и компрометации сетевых систем компании. Полной информации об инциденте до сих пор не опубликовано, поэтому о его масштабах можно только догадываться.
Важно понимать, что Тоyota уже не в первый раз сталкивается с серьезными инцидентами. В 2023 году вымогательская группа Medusa атаковала их дочернюю компанию, Toyota Financial Services, компрометировав конфиденциальную и финансовую информацию клиентов. А летом того же года было обнаружено, что из одного из облачных сервисов Toyota в течение 10 лет утекли данные о двух миллионах автомобилей и их владельцах. Автопроизводителю могут быть выставлены огромные штрафы за нарушения требований Общего регламента по защите данных (General Data Protection Regulation, GDPR), а владельцы авто могут подвергаться, например, повышенным рискам угона машин в случае утечки данных об их поездках.
При этом компания Toyota не единственный автопроизводитель, подвергающийся масштабным атакам на свою инфраструктуру. На сегодня нет опубликованных данных, что злоумышленникам удавалось получить доступ к серверам управления флотом автомобилей одного из автопроизводителей, однако исследователи фиксируют явный рост инцидентов в этой области.
Например, подобные уязвимости были найдены и продемонстрированы этичными хакерами в 2023 году в кейсе с телематическим блоком (T-Box) HopeChart HQT401.
Компания HopeChart IoT Technology производит T-Box устройства для управления автопарком и телематическими данными. Эти электронные блоки управления используются как на заводах-изготовителях грузовиков, так и на рынке послепродажного обслуживания (aftermarket) для уже выпущенных автомобилей. Одним из примеров использования T-Box является сотрудничество с Sany, третьим по величине производителем тяжелого оборудования в мире, который выпускает более ста тысяч экскаваторов ежегодно. Телематические блоки позволяют эффективно управлять телематикой и мониторингом техники, что критично для обеспечения высокой производительности и сокращения эксплуатационных затрат.
Энтузиастам удалось получить доступ к телематическим данным всех блоков, а впоследствии и к MQTT-серверу управления флотом на стороне компании Sany. MQTT-сервер используется для передачи телеметрических данных и получения команд, выступая посредником во время взаимодействия устройств интернета вещей (IoT) друг с другом. В процессе тестирования было обнаружено, что сервер не использовал аутентификацию и шифрование для подключения, что позволило исследователям получить доступ к данным всех автомобилей автопарка, подключенных к этому серверу, включая идентификацию транспортных средств по ICCID (Integrated Circuit Card Identifier, идентификатор SIM-чипа). Исследователи смогли не только наблюдать за телеметрией всех транспортных средств, но и отправлять команды, маскируясь под любое из этих транспортных средств или под сам бэкэнд на стороне автопроизводителя. Обнаруженная уязвимость позволяла видеть такие данные, как положение GPS, скорость, обороты двигателя, уровень топлива и другие метрики, а также диагностические ошибки и CAN-трафик, передаваемые при определенных событиях.
Устройства от HopeChart применяются на грузовиках таких производителей, как JMMC, который производит большое количество транспортных средств для внутренних и международных рынков, а также Beiben Truck, Sinotruk, и других крупных игроков отрасли, включая как китайских, так и европейских производителей. Нужно отметить, что достоверно неизвестно, в каком объеме и для каких конкретно моделей авто были использованы уязвимые ЭБУ HopeChart HQT401, однако их широкое применение говорит о рисках кибератак с серьезными последствиями.
Тревожное положение дел подтверждают и аналитики безопасности. В отчете Upstream за 2024 год фиксируется значительный рост атак на серверы телематики и инфраструктуру внутренних серверов OEM:
В 2023 году в экосистеме автомобильной и интеллектуальной мобильности резко возросло количество инцидентов, направленных против внутренних серверов (телематики, приложений и т.д.), а также информационно-развлекательных систем. Число инцидентов, связанных с серверами, выросло с 35% в 2022 году до 43% в 2023 году; количество инцидентов, связанных с информационно-развлекательной системой, увеличилось почти вдвое, увеличившись с 8% в 2022 году до 15% в 2023 году.
Также в отчете Upstream отмечено, что с развитием программно-определяемых автомобилей (Software-defined vehicles, SDV) и увеличением количества подключенных транспортных средств, угрозы кибератак продолжают расти. В 2023 году 95% всех атак на автомобильные системы были удаленными, причем 85% из них были длительного действия.
Важно подчеркнуть, что количество атак с широким воздействием увеличилось в 2,5 раза. Это подчеркивает, что атаки на автомобили могут приводить к масштабным последствиям, одновременно затрагивая миллионы транспортных средств и пользователей в разных странах.
Надо отметить, что в силу особенностей инфраструктуры в транспортной отрасли (как и в промышленности в целом) часто не внедрены меры кибербезопасности, которые в других областях уже давно широко применяются и считаются абсолютно необходимыми, в частности контроль и разграничение доступа клиентов к облачным сервисам и облачных сервисов к клиентскому ПО.
Первое, что необходимо внедрить в новую парадигму кибербезопасности для подключенных транспортных средств — это строгая политика авторизации каждой команды, поступающей в адрес автомобиля из облачной инфраструктуры. Полное доверие к дистанционным командам или данным от автомобиля может привести к серьезным инцидентам. Все данные должны проходить через системы управления идентификационными данными и контроля доступа (Identity and Access Management, IAM) на уровне автомобиля.
Также данные о командах должны анализироваться в центре операций по безопасности автомобиля (Vehicle Security Operation Center, VSOC). VSOC позволяет в реальном времени отслеживать кибератаки и предотвращать их последствия, предоставляя специалистам по безопасности актуальную информацию об инцидентах и угрозах.
Внедрив эти меры безопасности, автопроизводители могут улучшить защиту как инфраструктуры, так и подключенных транспортных средств, минимизируя риск атак и утечек данных. Детально требования к кибербезопасности транспортных средств сформулированы в нормативном акте ООН UN R155, причем с июля 2024 года эти требования являются обязательными для всех новых транспортных средств. Подводя итоги, можно сказать, что растущая взаимосвязь автомобилей с облачными инфраструктурами однозначно требует пересмотра текущих подходов к кибербезопасности. Автопроизводители должны активно внедрять политики строгой авторизации, развивать мониторинг и реагирование на инциденты в реальном времени через VSOC, а также уделять внимание защите как транспортных средств, так и их сетевой инфраструктуры, чтобы противостоять растущим угрозам.
Специалисты «Лаборатории Касперского» помогут разобраться, как наладить и внедрить процессы кибербезопасности в организациях-участниках цепочки поставок автотранспорта с опорой на актуальные требования международных стандартов и нормативных актов.
На стадии проектирования новых авто многие аспекты кибербезопасности могут быть учтены на уровне архитектуры уже на первых этапах создания автомобиля с помощью централизованного шлюза безопасности Kaspersky Automotive Secure Gateway (KASG). Шлюз реализует функции двусторонней аутентификации при связи с облаком автопроизводителя и авторизации любых внешних команд по управлению автомобилем. Это существенно снижает вероятность взлома и несанкционированного доступа к автомобилю, и далее к объектам информационной инфраструктуры производителя.
