Между тем, массовое использование злоумышленниками автомобильных программ-вымогателей (ransomware) не за горами. Сценарий, при котором на экране бортового компьютера авто появляется сообщение с требованием выкупа, уже тестируется хакерами. Так, например, еще в 2021 году атака на крупнейшего международного оператора грузоперевозок Hellmann Worldwide Logistics привела к утечке 70 ГБ данных и нарушила логистику компании.
В том же году хакерская группировка REvil показала, что может блокировать автомобили до выплаты выкупа в биткоинах. И по прогнозам экспертов (той же международной компании «Лаборатория Касперского») подобные «наезды», пока еще редкие, начнут массово применяться против частных автомобилей уже к концу этого года!
Современный автомобиль — это уже не просто механическое устройство, а сложный компьютер на колесах. По данным аналитиков компании Goldman Sachs Research, к 2025 году средняя новая машина содержит до 650 миллионов строк кода — в разы больше, чем истребитель последнего поколения. Для сравнения: в 2010 году автомобилю хватало 10 миллионов строк, а к 2020 году их число выросло до 200 миллионов.
Для тех, кто не знает скажем, что строки кода — это отдельные команды или инструкции, написанные на языке программирования, которые говорят компьютеру (или, в случае автомобиля, его электронным системам), что и как делать. Проще говоря, программное обеспечение (ПО) — это кулинарный рецепт. Каждая строка кода — шаг в этом рецепте: «включи двигатель», «если датчик дождя видит воду, включи дворники», «при нажатии на педаль газа увеличь подачу топлива». И чем сложнее система, тем больше таких «шагов» требуется.
Почему в автомобилях их так много? Раньше машины управлялись в основном механически, но сейчас почти все функции (от климат-контроля до автономного вождения) зависят от ПО. Например, 1 строка кода может отвечать за включение одной лампочки, 10 млн строк — за работу всей мультимедийной системы, 650 млн строк — за управление всем автомобилем: двигателем, тормозами, камерами, связью с серверами и т. д.
При этом, что любопытно, стиральная машина имеет 50 000 строк (только базовые программы стирки), смартфон — примерно 10-20 млн строк (Android/iOS + приложения), истребитель F-35 — около 25 млн строк (управление полетом, радарами, вооружением). А автомобиль 2025 года выпуска, повторим, до 650 млн строк (потому что это компьютер с сотнями датчиков, ИИ для автопилота, облачные сервисы и постоянные обновления).
И чем больше строк кода, тем выше риск ошибок или уязвимостей, которыми могут воспользоваться хакеры. Например, если в 10 млн строк спрятана всего одна опасная «опечатка», ее сложно найти — но ее же вполне может хватить для взлома.
А рост числа строк связан с распространением систем автономного вождения, продвинутых помощников водителя (ADAS) и мультимедийных комплексов, электромобилей и гибридов, наконец. Но чем сложнее ПО, тем больше в нем уязвимостей.
И если взлом смартфона грозит утечкой данных, то атака на автомобиль (причем — практически любой!) может привести не только к потере приличных сумм, выплаченных вымогателям, но и к трагедии: хакеры, повторим, способны дистанционно отключить тормоза, заблокировать зажигание или даже разогнать машину без ведома водителя.
Еще в 2015 году исследователи уязвимости в автомобильном ПО Чарли Миллер и Крис Валасек удаленно заглушили двигатель Jeep Cherokee на ходу, что вынудило производителя отозвать 1,4 млн автомобилей. В 2022-ом 19-летний хакер получил доступ к более чем двум десяткам Tesla через уязвимость в стороннем приложении.
А в 2023-ем эксперты американской компании Synopsys, занимающейся разработкой программного обеспечения и IP для проектирования интегральных схем, обнаружили критические дыры в безопасности мультимедийных и телематических систем у 60% современных машин!
Несмотря на это, автопроизводители по-прежнему ставят удобство выше безопасности. Современные автомобили управляются десятками электронных блоков (ECU), которые обмениваются данными через CAN-шину — технологию 1980-х годов, изначально не рассчитанную на защиту от кибератак. И «благодаря» такому пофигизму, нынешние транспортные средства подвержены трем очень серьезным угрозам. Во-первых, взлому через беспроводные интерфейсы
Большинство новых машин поддерживают сотовую связь, Wi-Fi и Bluetooth, что открывает широкие возможности для хакеров. Уже известны случаи, когда преступники открывали и заводили автомобили через уязвимости в бесключевом доступе (такие атаки успешно проводились против Tesla, BMW и Mercedes); отключали системы безопасности, включая подушки и ABS, отправляя вредоносные команды через CAN-шину, следили за машинами в реальном времени, перехватывая GPS-данные.
Вторая серьезная опасность обязательно «прилетит» через опасные обновления «по воздуху». Дело в том, что функция Over-the-Air (OTA) позволяет обновлять ПО машины без визита в сервис, но она же становится лазейкой для вредоносного кода. В отличие от смартфонов, многие автомобили не проверяют цифровую подпись обновлений, что позволяет злоумышленникам загрузить вирус.
Так, в 2020 году исследователь Леннерт Ваутерс взломал Tesla Model X через уязвимость в обновлении брелока. А в 2023 году 43% киберинцидентов в автомобильной сфере были связаны с атаками на серверы, отвечающие за OTA-обновления.
И, наконец, нельзя забывать об уязвимости сторонних приложений, используемых в ТС. Мультимедийные системы многих машин работают на Android Automotive или QNX, которые неоднократно взламывались. Еще опаснее — интеграция сторонних сервисов (например, Spotify или страховых приложений), предоставляющих доступ к данным автомобиля.
В 2015 году исследователи из Калифорнийского университета взломали страховой датчик Metromile и через него отправили команду на торможение Chevrolet Corvette. К 2023 году атаки через API (интерфейсы подключения) выросли на 308% и стали третьим по распространенности методом взлома. Чем это грозит водителям? Про программы-вымогатели мы уже рассказали. Но это только вершина айсберга.
Ведь не стоит забывать и о кибершпионаже, то есть сборе и продаже тех или иных данных. Машины собирают огромное количество информации: местоположение конкретного ТС, стиль вождения его владельца, даже записи с микрофонов. В 2024-2025 годах General Motors и Honda оказались в центре скандалов из-за передачи этих данных страховым компаниям без согласия владельцев. Исследование Mozilla (сообщество разработчиков свободного программного обеспечения) показало, что все 25 проверенных автопроизводителей собирают избыточные данные, а некоторые даже продают их третьим лицам.
Ну и кибератаки государственных хакеров. В 2024 году американские спецслужбы предупредили, что китайские группировки (например, хакерская группа Volt Typhoon, спонсируемая государством) изучают уязвимости в сетях зарядных станций для электромобилей. Это часть глобальной кибервойны, где автомобили могут стать инструментом шпионажа или саботажа.
Поэтому даже странно, что большинство мировых автопроизводителей рассматривают кибербезопасность как формальность, а не жизненную необходимость. Кроме того, автопроизводители почти не сотрудничают с white-hat-хакерами, а некоторые (например, Honda) вообще не имеют программ вознаграждения за обнаружение уязвимостей.
И пока автоиндустрия не изменит подход к проблеме, безопасность автомобиля — в руках владельца. И тут эксперты рекомендуют тключать Bluetooth, когда он не нужен, не использовать сторонние диагностические адаптеры, требовать от автопроизводителей прозрачности в сборе данных, ограничивать доступ телематических систем авто к интернету.
И это не шутки, ведь, если по гамбургскому счету, вопрос не в том, произойдет ли массовая кибератака на автомобили, а в том, когда это случится. Пока регуляторы и производители не начнут относиться к безопасности серьезно, каждый современный автомобиль остается потенциальной мишенью для хакеров.
