Dinamarca avança para corrigir falha de segurança em autocarros elétricos chineses após testes noruegueses

Porque um teste a autocarros na Noruega disparou alarmes na Dinamarca

A Dinamarca corre para proteger a sua rede de autocarros públicos depois de testes controlados na Noruega terem mostrado que autocarros elétricos de fabrico chinês incluem conectividade remota que poderia ser utilizada para desligar veículos em serviço. A conectividade existe por razões legítimas, principalmente atualizações de software e diagnóstico. Revisores de segurança afirmam que o mesmo canal, se mal utilizado, poderia interromper as operações. Agências e operadores dinamarqueses estão agora a examinar centenas de autocarros em uso diário, incluindo 262 veículos Yutong operados pela Movia em Copenhaga e arredores, para garantir que nenhum controlo remoto não gerido possa afetar o serviço.

O operador de transporte público da Noruega, a Ruter, realizou testes em dois autocarros Yutong num ambiente isolado. Os engenheiros confirmaram que o fabricante poderia ligar-se a sistemas que suportam atualizações, diagnóstico e gestão energética. Os investigadores descobriram que a remoção dos cartões SIM bloqueava o contacto externo. Essa medida também cortou serviços importantes como informação de chegada em tempo real, deteção remota de avarias e manutenção preditiva. A Ruter notificou as autoridades nacionais e locais e está a preparar requisitos de segurança mais rigorosos para futuras aquisições.

A Yutong rejeita a ideia de que um fornecedor possa dirigir, travar ou acelerar um autocarro à distância. A empresa afirma que a ligação de dados existe para manutenção e que os dados europeus são armazenados numa instalação da Amazon Web Services em Frankfurt, protegidos por encriptação e controlos de acesso. Não existem casos registados de um autocarro ter sido desligado remotamente na Noruega ou na Dinamarca. Ainda assim, os operadores consideram qualquer via de acesso não controlada a equipamentos críticos um risco inaceitável.

O que a Noruega encontrou nos seus testes a autocarros

A Ruter afirmou que as suas equipas descobriram módulos integrados de SIM e armazenamento que permitiam uma ligação móvel segura entre autocarros e servidores externos. A ligação suportava diagnóstico remoto e atualizações de software. Os engenheiros concluíram que um utilizador malicioso, ou uma conta de fornecedor que tivesse sido comprometida, poderia interromper o fornecimento de energia ou outras funções que mantêm um autocarro em movimento. O teste não demonstrou direção ou travagem remota. Realçou, no entanto, a possibilidade de parar um autocarro ao cortar a tracção ou a energia.

O operador também examinou autocarros de um fabricante europeu de idade semelhante. Esses veículos não utilizavam funções de atualização remota, o que reduziu a superfície de ataque mas também limitou a flexibilidade e a eficiência da manutenção. O contraste, juntamente com as descobertas da Yutong, convenceu os responsáveis noruegueses de que são necessários requisitos de aquisição mais claros para qualquer marca que dependa de serviços conectados.

A solução do cartão SIM e os seus compromissos

Remover os cartões SIM corta imediatamente a ligação remota, mas também desativa ferramentas de que muitas agências de transporte dependem. Os painéis de chegada em tempo real e as previsões das aplicações móveis dependem da conectividade dos veículos. O mesmo se aplica ao diagnóstico remoto e ao planeamento da manutenção de software. Uma desconexão permanente dificultaria a recuperação do serviço quando ocorrem avarias e poderia elevar os custos, porque os técnicos perdem telemetria detalhada e avisos antecipados. Os operadores estão a ponderar proteções dirigidas que mantenham os fluxos essenciais de dados enquanto bloqueiam qualquer acesso do fornecedor que não seja explicitamente autorizado e supervisionado.

Os autocarros foram efetivamente tomados?

Os responsáveis afirmam que não houve casos de manipulação remota ao vivo de autocarros. A Yutong declara que funções críticas para a segurança como direção, propulsão e travagem não aceitam comandos de redes externas. Os testes da Ruter e os esclarecimentos de peritos apontam para um risco mais restrito. Os autocarros poderiam ficar inoperacionais se a gestão de energia ou da bateria fosse alterada através de uma ligação. Esse tipo de interrupção seria grave para as operações, mesmo que os motoristas mantenham controlo total do veículo enquanto este está em movimento.

O diretor-executivo da Ruter, Bernt Reitan Jenssen, afirmou que a probabilidade de tentativas de interferência continua baixa, mas apelou à ação para reduzir a exposição.

Temos de levar o risco a sério.

Como a Dinamarca está a responder

A Agência Dinamarquesa de Proteção Civil e Gestão de Emergências afirma não ter conhecimento de casos confirmados de desativação remota na Dinamarca. A agência avisa que subsistemas e sensores ligados à internet poderiam ser explorados para perturbar o serviço se os controlos de segurança forem fracos. Está a monitorizar os desenvolvimentos e a avaliar se a orientação atual é adequada, e está pronta a aconselhar os operadores em matéria de prevenção e resposta.

A Movia, a maior empresa de transporte público da Dinamarca, opera 469 autocarros elétricos de fabrico chinês em toda a Zelândia, dos quais 262 são Yutong. O diretor de operações da Movia, Jeppe Gaard, reconheceu que veículos conectados podem estar expostos a interferência remota quando os sistemas de software residem em redes abertas. Salientou que a preocupação afeta uma vasta gama de veículos e dispositivos conectados, não se limitando a autocarros chineses. A Movia planeia reforçar os requisitos de cibersegurança nos novos concursos e está a avaliar salvaguardas para a sua frota atual.

Vozes políticas e grupos da sociedade civil querem normas nacionais que tratem o transporte público como infraestrutura crítica. Argumentam que a forte dependência de fornecedores estrangeiros enfraquece a resiliência durante uma crise. Os legisladores estão a explorar opções como critérios de concurso uniformes, triagem de risco de fornecedores, regras de residência de dados e limites ao acesso remoto não gerido. Quaisquer alterações teriam de seguir a lei de aquisições dinamarquesa e da União Europeia, dando ao mesmo tempo aos operadores ferramentas práticas para manter o serviço em funcionamento.

O que a Yutong diz sobre acesso e dados

A Yutong afirma que o controlo remoto de funções críticas para a segurança não é possível nos seus autocarros. A empresa declara que a unidade de controlo principal está separada dos sistemas de direção, propulsão e travagem. A ligação de dados suporta diagnóstico, monitorização de desempenho e funções de conforto, como a pré-condicionamento da cabine. As atualizações exigem aprovação explícita do operador. A empresa afirma também que os dados dentro da União Europeia são armazenados em Frankfurt e protegidos através de encriptação e controlo de acesso rigoroso. A Ruter explicou que as suas descobertas descrevem um risco teórico e que não houve casos relacionados com a segurança.

O risco técnico explicado

Os autocarros modernos transportam uma unidade de telemática ligada a redes celulares. Essa unidade comunica com uma plataforma em nuvem para fornecer dados de estado e receber pacotes de software ou alterações de configuração. Dentro do veículo, uma rede de área de controlo liga subsistemas de propulsão, baterias, portas, aquecimento e painéis do motorista. Uma boa conceção coloca os circuitos críticos para a segurança em linhas separadas com forte isolamento. Na prática, existem interfaces entre redes para que as equipas de apoio possam diagnosticar avarias e aplicar correções. As mesmas interfaces são atraentes para atacantes se as verificações de identidade ou as regras de acesso forem fracas.

O risco credível não é um sequestro remoto à moda de Hollywood. A principal preocupação é um comando remoto que desative a propulsão ou a energia, ou uma atualização de software que corrompa um componente e deixe um autocarro incapaz de se mover. Se centenas de veículos partilharem a mesma configuração e a mesma conta de fornecedor, uma única violação poderia causar perturbações generalizadas mesmo sem tocar na direção ou nos travões. As agências querem provas de que os canais remotos estão desativados por defeito, de que o acesso baseado em papéis é aplicado e de que os operadores podem desligar instantaneamente as ligações externas se suspeitarem de mau uso.

O que poderia ser afetado na prática

• Condições de ativação da energia de tracção e arranque do inversor
• Definições de gestão de bateria, incluindo limites de carga e descarga
• Lógica e calendários de controlo de carregamento
• Distribuição de energia de baixa tensão que alimenta unidades de controlo e sensores
• Sistemas da cabine como aquecimento, ventilação e iluminação

As equipas de segurança concentram-se em reforçar estes caminhos preservando os dados de que necessitam para operações seguras e eficientes. O objetivo é manter o diagnóstico remoto e atualizações não críticas, com controlos robustos que impeçam qualquer ação remota que possa imobilizar um veículo sem aprovação local.

Como poderiam ser as novas regras

Empresas de transporte, reguladores e fornecedores estão a elaborar salvaguardas adequadas a frotas conectadas. As medidas visam manter os benefícios da telemática e do apoio remoto, fechando qualquer caminho não gerido para o sistema de tração. A linguagem contratual, a certificação e os controlos técnicos terão de estar alinhados de modo a que os operadores tenham a palavra final sobre o que entra numa rede de autocarros e quando.

• Controlo local da conectividade, com a capacidade de desativar instantaneamente o acesso do fornecedor
• Controlo de atualizações, em que alterações de firmware e configuração são revistas e assinadas antes da instalação
• Separção estrita entre redes de diagnóstico e redes críticas para a segurança
• Acesso baseado em papéis e autenticação multifator para todas as sessões remotas
• Registo imutável e auditorias independentes das ligações remotas
• Regras claras de residência de dados e normas de encriptação
• Triagem de risco de fornecedores em concursos, incluindo práticas de desenvolvimento seguro e capacidade de resposta a incidentes
• Testes de penetração de terceiros e certificação para plataformas de veículos conectados

O que isto significa para os passageiros e as cidades

Os passageiros não devem esperar alterações imediatas ao serviço. Os autocarros são conduzidos por humanos e não podem ser operados a partir do exterior do veículo. Os operadores afirmam que as câmaras destes autocarros não estão ligadas à internet, pelo que não existe risco de transferência de imagem em tempo real. Se um operador remover os cartões SIM para isolar veículos, as previsões de chegada em tempo real, os painéis da frota e o diagnóstico remoto degradar-se-ão. As agências preferem, por isso, controlos em camadas que mantenham a informação do serviço a circular enquanto impedem comandos não autorizados.

As cidades enfrentam um equilíbrio entre a conveniência da manutenção remota e a certeza que advém de um controlo local mais rigoroso. Cortar a conectividade pode reduzir o risco mas também prejudica a fiabilidade e aumenta os custos. Uma abordagem equilibrada utiliza uma governação forte, transparência e controlos técnicos verificáveis, de modo a que os operadores mantenham as vantagens das frotas conectadas sem expor o grupo motriz a interferências externas.

Pontos-Chave

• A Dinamarca audita centenas de autocarros elétricos de fabrico chinês depois de testes noruegueses terem mostrado um canal de acesso remoto em veículos Yutong.
• Os testes isolados da Ruter descobriram que a remoção dos cartões SIM bloqueia o acesso remoto mas também desativa informação ao vivo e diagnóstico.
• A Yutong nega qualquer capacidade de controlar direção, propulsão ou travagem e afirma que os dados da UE são armazenados em Frankfurt com encriptação e controlos de acesso.
• A agência de proteção civil dinamarquesa não reporta casos conhecidos de desativação, mas avisa que subsistemas conectados poderiam ser explorados sem controlos robustos.
• A Movia opera 469 autocarros elétricos chineses, incluindo 262 Yutong, e planeia requisitos de cibersegurança mais rigorosos em futuros concursos.
• O risco central é a perturbação remota da energia ou da gestão de bateria, o que poderia imobilizar autocarros mesmo que os motoristas mantenham a direção e os travões.
• As mitigações propostas incluem interruptores locais de paragem da conectividade, controlo de atualizações, separação de redes, acesso multifator e auditorias independentes.
• Os operadores pretendem proteger a qualidade do serviço enquanto fecham o acesso remoto não gerido, em vez de desativar a conectividade em toda a frota.