BYD mengakui adanya celah perangkat lunak pada sistem infotainment pikap Shark 6 yang memungkinkan peneliti keamanan siber mengakses kendaraan dari jarak jauh. Celah itu digunakan untuk melacak kendaraan dan mengakses mikrofon ketika salah satu unit Shark 6 dipakai di jalan umum dalam investigasi program Four Corners milik ABC.
Temuan tersebut akan diperbaiki melalui pembaruan perangkat lunak over the air (OTA), setelah BYD menyelesaikan proses validasi. Perusahaan asal China itu juga sedang menilai apakah perbaikan yang sama diperlukan pada model BYD lain yang dijual di Australia.
Celah ditemukan pada sistem infotainment
Investigasi Four Corners yang tayang awal bulan ini menggunakan sebuah BYD Shark 6 selama dua minggu. Kendaraan tersebut dikendarai Dan Hreszczuk, salah satu pendiri perusahaan keamanan siber Fortify Labs.
Dalam demonstrasi tersebut, Hreszczuk diperlihatkan dapat mengakses sistem infotainment kendaraan. Menurut temuan yang ditampilkan dalam program, sistem itu dapat digunakan untuk mendengarkan percakapan telepon dan mencari informasi pribadi yang bersifat sensitif.
BYD kemudian melakukan penyelidikan bersama tim teknisnya di Australia dan China. Perusahaan mengonfirmasi bahwa akses tersebut dilakukan melalui Android Debug Bridge (ADB), alat pada perangkat lunak Android yang umumnya digunakan untuk memasang aplikasi selama pengembangan atau melakukan proses debugging.
Menurut BYD, fitur ADB secara bawaan dinonaktifkan ketika kendaraan meninggalkan pabrik dan seharusnya hanya dapat diakses pihak berwenang menggunakan alat khusus. Namun, Hreszczuk disebut memanfaatkan celah perangkat lunak untuk mengaktifkan ADB dan memasang aplikasi pihak ketiga yang tidak tepercaya.
“Insinyur BYD dalam penyelidikannya berhasil mereproduksi celah perangkat lunak yang digunakan untuk mengaktifkan ADB serta proses pemasangan aplikasi pihak ketiga yang tidak tepercaya tersebut,” kata BYD.
Perusahaan menambahkan, aplikasi yang meminta akses ke fungsi tertentu, seperti lokasi kendaraan atau mikrofon, akan memunculkan permintaan izin pada layar infotainment. Akses tersebut, menurut BYD, baru dapat diberikan setelah pengguna menyetujuinya secara manual.
Pengoperasian lampu dan wiper memerlukan akses fisik
Dalam tayangan yang sama, peneliti diperlihatkan dapat menonaktifkan lampu depan, mengaktifkan wiper, dan mengunci pintu saat kendaraan sedang dikemudikan. BYD menegaskan bahwa fungsi pedal akselerator, rem, dan kemudi tidak dapat diakses dalam demonstrasi tersebut.
Hasil penyelidikan BYD menunjukkan pengoperasian lampu depan dan wiper membutuhkan akses langsung ke CAN bus internal kendaraan melalui sambungan ke kabel. Artinya, tindakan itu tidak dapat dilakukan dari jarak jauh tanpa akses fisik sebelumnya.
BYD menyatakan demonstrasi tersebut hanya berlaku pada kendaraan yang telah diakses secara fisik, seperti unit Shark 6 yang digunakan dalam program ABC. Shark 6 lain yang berada di jalan tidak dapat dikendalikan dari jarak jauh menggunakan cara yang sama tanpa kontak fisik.
Jika sambungan kabel tidak tersedia, akses ke jaringan kendaraan yang relevan hanya mungkin dilakukan melalui antarmuka On-Board Diagnostics (OBD). BYD menyebut telah menerapkan autentikasi perangkat dan isolasi fisik, serta pengamanan yang mengikuti peraturan Perserikatan Bangsa-Bangsa untuk melindungi antarmuka tersebut.
Perusahaan juga telah memulai penilaian risiko tambahan untuk mengkaji kebutuhan dan kelayakan teknis dari langkah-langkah keamanan berikutnya.
