Karolis Arbačiauskas, „NordPass“ Verslo plėtros vadovas, Lietuvos žurnalistų autoklubo pirmą kartą organizuojamoje konferencijoje „Plug-in“, teigė, kad kibernetiniai nusikaltimai pasaulyje vyksta jau 30 metų bei yra pripažinti viena didžiausių grėsmių verslui ir vartotojams. Svarbu ir tai, kad kibernetinių atakų pelningumas per pastaruosius metus taip pat ženkliai išaugo, todėl skaičiuojama, kad per mėnesį visame pasaulyje apie 500 svetainių patiria vienokias ar kitokias kibernetines atakas, kurių metu prarandami vartotojų duomenys. Dėl tokios programišių veiklos kiekvieną mėnesį į tamsųjį internetą patenka apie 50 mln. Įrašų apie vartotojus.
„Dažniausiai tai yra elektroninio pašto adresai, gali būti slaptažodžiai ar kita informacija. Skaičiuojama, kad vien 2025 metais kibernetiniai nusikaltėliai uždirbs apie 10,5 trilijonų JAV dolerių. Tai yra skaičius su 12 nulių, labai sunku suvokti šio skaičiaus dydį. Kibernetiniai nusikaltėliai šiuo metu jau uždirba daugiau nei visi nusikaltėliai, kurie nelegaliai pardavinėja narkotikus. Tam, kad būtų lengviau suvokti šį skaičių, palyginimui, už tą sumą būtų galima nupirkti 70 mln. „Porsche Taycan“, o tai būtų po 25 tokius automobilius, kiekvienam Lietuvos gyventojui. Būtent tokie pinigai sugeneruojami kibernetinių nusikaltimų rinkoje, o dėl to akstinas veikti šioje rinkoje yra labai didelis“, – komentavo K. Arbačiauskas.
Nauda ir pavojai viename
Atsižvelgiant į žmones, K. Arbačiauskas pabrėžia, kad daugumai žmonių kasdienėms užduotims reikia interneto, kurio reikia ne tik naudojantis telefonais, kompiuteriais, tačiau ir automobiliais. Vis dėlto, internetas yra pirmas ir pagrindinis prerekvizitas kibernetiniams nusikaltėliams, kurie iš to gali gyventi.
„Internetas stipriai palengvina atakos tikimybę ir taip pat labai stipriai išplečia atakos paviršių, tai yra taškus, per kuriuos galima organizuoti ataką. Pačiame viršuje, kai kalbame apie debesijos servisus ir svetaines, galima organizuoti plataus spektro atakas, kurių metu kibernetiniai nusikaltėliai nesitaiko į pavienius žmones, tačiau jie tampa didelės atakos dalimi, kai jų duomenys būna nutekinti. Dažniausiai nereikia apie mus galvoti kaip apie labai svarbius individus, nes mes tiesiog atsitiktinai tampame didelių atakų dalimi.
Kiek toliau yra daiktų internetas, kuriame randame ir automobilius. Kol kas prie šių įrenginių jungtis ir bandyti juos nulaužti finansiškai yra mažiau naudinga, nes juose dažniausiai yra pateikiama mažiau informacijos, o toji informacija ne visada gali būti ne tokia privati, kaip toji, kurią galima gauti įsilaužus į kompiuterius ar servisus“, – aiškino „NordPass“ atstovas.
Vis dėlto, K. Arbačiauskas pabrėžia, kad atsiranda kitos atakų galimybės, kai jos gali būti vykdomos ne dėl pinigų, o dėl pačios tikslinės atakos, kuri gali būti įvairi, konkrečius įrenginius sutrikdanti ataka, o tai, kaip jie veiks po jos, gali turėti įvairių padarinių.
Daugiau elektronikos – daugiau galimybių ne tik vairuotojams
K. Arbačiauskas akcentuoja, kad vis daugiau operacijų vyksta ne analoginiu, o automatiniu būdu, naudojant elektronines sistemas, todėl jau yra fiksuota atvejų, kai kibernetiniai nusikaltėliai įsilaužė į gamybines įmones bei prašė išpirkos už perimtą informaciją, o būtent iš tokių įmonių, anot pranešėjo, yra prašoma didžiausių išpirkų.
Tačiau ar įmanomos tokios atakos prieš automobilius? K. Arbačiauskas teigė, kad kol kas, kalbant apie automobilių saugumą, svarbu kalbėti ne apie antivirusines sistemas, o apie poreikį saugotis. Anot jo, kalbant apie kibernetinį saugumą, reikia galvoti, kaip atakuojanti pusė elgiasi ir galvoja. O pirmas elementas, apie kurį reikia pagalvoti, – ar realu įgyvendinti konkrečią ataką ir ar yra atakos paviršių, per kurį galima bandyti įsilaužti?
„Šiam tikslui noriu palyginti automobilius su kompiuteriais ir kuo jie skiriasi skirtingais laikmečiais. Pirmiausia, norėčiau palyginti „Fiat 500“ modelį, kuris buvo pagamintas 1960-aisiais. Jis yra labai paprastas, turintis vidaus degimo variklį, viskas šiame automobilyje vyksta analoginiu principu – gali atsirakinti, užsivesti ir važiuoti. Šiame modelyje nėra elektroninio valdymo komponentų, kurie į automobilius diegti buvo pradėti kiek vėliau. Tad tokį automobilį galima palyginti su mechanine rašymo mašinėle, o kalbėti apie tokių įrenginių kibernetinį saugumą nėra prasmės. Mintyje galėtume išlaikyti tik faktą, kad abu šiuos daiktus galima vogti ir automobilio vertė bus didesnė.
Į kitą etapą galima įtraukti daiktų internetą ir automobilius, kurie turi ne tik vidaus degimo variklį, tačiau ir daug elektronikos – yra aprūpinti elektroniniais jutikliais, kompiuteriais ir multimedijomis. Negana to, prie jų galima prijungti kitus įrenginius, kaip kad telefonas. Tokius automobilius galima palyginti, pavyzdžiui, su šaldytuvais, kurie taip pat aprūpinti elektronikos komponentais ir kompiuteriais, kuriems galima nuotoliu siųsti užduotis. Į tokius įrenginius jau galima įsilaužti, tačiau juose atakos paviršius yra šiek tiek mažesnis, o norint įvykdyti įsilaužimą, reikia būti arti tokio įrenginio. Todėl priežasčių, kodėl reikėtų laužtis į tokius įrenginius, šiuo metu yra nedidelis, todėl ir akstinas kibernetinių nusikaltėlių veiklai yra mažesnis. Žinoma, tokių įrenginių saugumu, jei į juos galima įsilaužti, vis tiek turi būti pasirūpinta.
Vis dėlto, jei palygintume elektromobilius, kurie, galbūt, dar yra ir autonominiai ar valdomi nuotoliniu būdu, tai iš esmės tai yra visai kitokie įrenginiai. Elonas Muskas apskritai „Teslą“ vadina ne automobilių, o technologijų įmone. Modernioj „Tesloj“ paruošti visai programinei įrangai ir pilnai sukomplektuoti mašinai yra naudojama apie 100 mln. kodo eilučių, kai palyginus su „Android“ operacine sistema, kuri naudojama telefonuose, jai naudojama 12 mln. eilučių, o kompiuteriuose apie 40–60 mln. kodo eilučių, o tai reiškia, kad automobilis jau yra sudėtingesnis kompiuteris nei kompiuteris, kurį mes įsivaizduojame“, – aiškino K. Arbačiauskas.
Automobiliai didesni kompiuteriai nei patys kompiuteriai
„NordPass“ Verslo plėtros vadovas taip pat pabrėžė, kad kalbant apie elektroninius valdymo komponentus, kurie iš esmės siunčia signalus į centrinį automobilio kompiuterį bei pateikia kažkokias išvadas ar atvaizdavimus prietaisų skydelyje, tai vien jų šiuolaikiniame automobilyje gali būti nuo 30 iki 100, o jie gali atkeliauti iš skirtingų gamintojų bei kiekvienas jų gali turėti individualią mini operacinę sistemą, todėl atakos paviršius šiuo atveju yra daug didesnis.
Dėl tokių įrenginių prisijungimo prie interneto, anot pranešėjo, išauga ir atakų tikimybė, mat net ir patiems programišiams atsiranda daugiau prasmių ir realių galimybių įvykdyti ataką.
K. Arbačiauskas teigė, kad tarp 2030-ųjų ir 2035-ųjų pasaulyje elektros pavarą turinčių naujų automobilių bus nuperkama daugiau nei bet kokių kitų naujų automobilių. Maždaug kas antras automobilis turėtų būti elektrinis, o tai reiškia, kad kibernetiniams nusikaltėliams atsiras labai didelis atakos paviršius, o tai iš esmės sukurs sąlygas vykdyti kibernetines atakas nukreiptas prieš automobilius.
Priežastys įsilaužti yra dvi
Pranešėjas atkreipia dėmesį, kad dar prieš atliekant ataką svarbu turėti priežastį, kodėl ją vertėtų įgyvendinti. Vis dėlto, jau dabar galima išskirti kelias priežastis, kodėl kibernetiniai nusikaltėliai galėtų atsigręžti į automobilius. Visų pirmą gali būti vykdomos tikslinės ir kenkėjiškos atakos, kad būtų sutrikdyta rimtis, o tokiais atvejais gali būti sutrikdytas ar perimtas automobilio valdymas. Be abejonės, toks įsilaužimas į automobilį keltų tiesioginę grėsmę automobilyje ar aplinkoje esantiems žmonėms.
Kita priežastis, kodėl gali būti vykdomos tokios atakos – finansinė, mat įsilaužus į automobilį gali būti perimta privati ar komercinė informacija, gamintojai gali patirti reputacinę žalą, sulaukti baudų dėl pažeidimų.
„Kuo daugiau žmonės savo automobilius pradės naudoti, kaip kompiuterius ir laikys vis daugiau informacijos – tiek komercinės, tiek privačios informacijos apie savo elgseną ir susietus įrenginius, tuo labiau didės atakų tikimybė dėl finansinių priežasčių.
Tačiau kalbant apie tai, jog didėja galimybė perimti automobilio valdymą, svarbu įvertinti, kad į automobilį reikėtų žiūrėti, kaip į kritinės infrastruktūros elementą, o tokiais elementais iki šiol buvo laikoma aviacijos įranga ar elektrinės“, – aiškino K. Arbačiauskas paminėdamas, kad ne ką mažiau svarbu prisiminti, kad automobilio eksploatacinis laikas yra gerokai ilgesnis nei kompiuterio, todėl pasirūpinti transporto priemonių apsauga yra būtina.
Svarbūs skirtingi apsaugos lygiai
„NorsPass“ atstovas teigė, kad programišiai, norėdami įsilaužti į automobilius, gali taikytis į skirtingus jo komponentus. Vieni jų gali būti minėti elektroniniai valdymo komponentai, taip pat įsilaužti į automobilius gali būti bandoma per nuotolinius atnaujinimus, kurie gali būti atliekami automobiliui prisijungus prie interneto, todėl labai svarbu užtikrinti jų saugumą.
Anot pranešėjo, siekiant užtikrinti automobilio saugumą, ne ką mažiau svarbu pasirūpinti ir kitų įrenginių, kurie prijungiami prie automobilio, saugumu. Mat pažeidus vieną įrenginį, per grandinę gali būti užkrėsti ir kiti. Be abejonės, įsilaužti į automobilius galima naudojant ir papildomą įrangą, kaip signalo stiprintuvus ar klonuotus raktus.
Dar vienas būdas pasipelnyti įsilaužiant į automobilį – informacijos užgrobimas, už kurią vėliau prašoma išpirkos. K. Arbačiauskas pabrėžia, kad būtent tokias atakas itin mėgsta kibernetiniai nusikaltėliai, mat tokiais atvejais jiems pavyksta gauti daugiausia pelno. Norint sutrikdyti automobilio sistemų veikimą, prieš automobilį taip pat gali būti nukreiptos DDoS atakos. Tiesa, atakos gali būti nukreiptos ir prieš debesijos servisus, iš kurių automobiliams perduodama informacija.
Anot K. Arbačiausko, būdų, kaip apsiginti, tikrai yra, o vienas būtų – daugiasluoksnis kibernetinis saugumas. Pirmiausia, nuo architektūros iki galutinio produkto, saugumu turi pasirūpinti patys gamintojai. Taip pat turi būti užtikrinta išorinių sąsajų saugumas.
„Kritiškai svarbu, kad automobilio architektūrą, kuri skirta valdymui, ir sistemas, kurios skirtos pramogoms atskirti ir atskirai užtikrinti jų saugumą. Svarbu pasirūpinti ir geležies, kaip raktelių, saugumu. Ne ką mažiau svarbu, kad visa tiekimo grandinė būtų saugi, o tai reiškia, kad įmonės, iš kurių gaunami komponentai, atitiktų tam tikrus saugumo reikalavimus. Žinoma, ypač svarbi ir vairuotojų edukacija, nes dažnai neužtenka tiesiog žmogui duoti įrankius, svarbu paaiškinti, kaip jais naudotis ir kokios rizikos gali kilti, jei jais bus naudojamasi nepaisant saugumo“, – aiškino K. Arbačiauskas.