澳洲專家實測比亞迪：無需密碼即可遠程控制、監聽對話

澳洲網絡安全專家實測比亞迪（BYD）Shark 6後大吃一驚：黑客竟無需密碼，就能獲得車輛的遠程訪問權限。專家發現，獲得權限後，還可以在車外遠程鎖門、關閉車燈、控制雨刷，甚至打開車內麥克風監聽談話。

去年，英國軍方禁止中國電動汽車，包括採用中國零部件生產的車輛在部份高度敏感軍事設施3公里範圍內停放。而澳洲國防部門目前還沒有全面禁止中國汽車品牌。

澳洲廣播公司《四角》（Four Corners）節目請來坎培拉網絡安全公司Fortify Labs聯合創辦人赫雷斯丘克（Dan Hreszczuk）對比亞迪Shark 6進行攻擊測試，這正是澳洲貿易部長法雷爾（Don Farrell）駕駛的同款比亞迪車型。

測試過程中，記者坐在車內駕駛，赫雷斯丘克則在車外通過電腦遠程操作車輛，以測試黑客究竟能夠獲得哪些權限。

「這比我們預想的要容易。」赫雷斯丘克說。

他發現，他利用的車輛訪問權限甚至沒有設置密碼。「比亞迪Shark對黑客如此開放，這有點令人害怕。」

測試中，記者駕駛Shark 6行駛在坎培拉郊外一條狹窄的鄉間道路上，赫雷斯丘克突然遠程關閉了車輛燈光，讓記者陷入黑暗。當時車速約為每小時30公里，好在道路比較筆直。

赫雷斯丘克還可以遠程鎖上車門、通過車內揚聲器播放音樂，還能遠程讓車內中控大屏顯示指定的圖片，啟動雨刷，將雨刷調至最高速度並噴水，同時反覆打開和關閉車燈。

雖然赫雷斯丘克無法控制煞車和攝影機等關鍵系統，但他認為，即使只是遠程控制車燈、雨刷等功能，如果車輛正以高速行駛在彎曲道路上，也可能給駕駛者造成嚴重干擾，並帶來安全風險。

除遠程操控之外，聯網汽車收集的大量個人數據也是網絡安全專家關注的問題，因為一旦攻擊者獲得車輛訪問權限，車內人員的談話可能被監聽。

當記者駕駛Shark 6在坎培拉市區行駛，並給母親打電話，講解如何設置線上銀行。與此同時，赫雷斯丘克在車外遠程打開汽車麥克風，能夠聽到車內的談話。

通話中，記者告訴母親，他準備暫時使用自己的姓名首字母、房屋門牌號碼和完整出生日期作為線上銀行密碼。

赫雷斯丘克將這段通話錄了下來。

隨後，他利用錄音中記者說過的「Hey Siri」，製作了一段經過剪輯的語音指令，再通過汽車揚聲器播放給記者留在車內的iPhone。

例如，他讓經過剪輯的聲音詢問：「Hey Siri，我的家庭住址是甚麼？」Siri隨即作出回答。

赫雷斯丘克用同樣的方法獲取了記者的出生日期和年齡，甚至讓Siri讀出了通訊錄中前總理特恩布爾的電話號碼。

通過這一系列操作，赫雷斯丘克最終獲取了線上銀行密碼。

這項測試顯示，如果攻擊者已經能夠遠程訪問汽車，車內的麥克風和揚聲器可能進一步成為獲取個人資料的工具。

電動汽車和混合動力汽車正在澳洲市場迅速普及，今年已經佔新車銷量的近三分之一，其中超過一半來自中國品牌。

聯網汽車越來越依賴軟件運行，汽車製造商可以通過軟件遠程更新、修改和控制車輛的部份功能。

比亞迪等中國車企的車輛軟件由中國方面控制，也因此引發了數據安全方面的擔憂，因為相關企業在特定情況下可能被要求配合中共當局提供車主訊息。

澳洲缺乏汽車最低網絡安全標準。這意味著比亞迪並沒有受到強制要求，必須及時更新車輛軟件，或者建立專門的系統來管理汽車網絡安全風險。

「我根本不需要撬鎖，因為比亞迪已經把前門敞開了。」赫雷斯丘克說。「我認為，人們為了便利，忽視了很多這類擔憂。這是一輛開起來很漂亮的車，內飾也很漂亮，但確實存在真正的安全問題。」

比亞迪則表示，該公司收集的數據儲存在澳洲，從未、也不會將澳洲人的數據交給中國當局。#