Pasaulinė automobilių kibernetinio saugumo krizė: ką turi žinoti kiekvienas vairuotojas

Automobilis 2026 m. jau seniai nebėra tik geležis ir variklis. Tai ratuotas kompiuteris su SIM kortele, Wi‑Fi, Bluetooth, dešimtimis valdiklių ir programinės įrangos sluoksnių. Kartu su patogumu atėjo ir nauja realybė – pasaulinė automobilių kibernetinio saugumo krizė, kurią šiandien pripažįsta ir gamintojai, ir reguliuotojai.

Per pastaruosius kelerius metus fiksuojama vis daugiau sėkmingų automobilių įsilaužimų, nuotolinio valdymo pavyzdžių, duomenų nutekėjimų ir programinės įrangos šantažo atvejų. Kibernetinės grėsmės jau paliečia ne tik premium segmentą – pažeidžiami ir pigesni, plačiai parduodami modeliai, įskaitant elektromobilius ir komercinį transportą.

Kodėl kalbama apie „krizę“, o ne tik apie riziką?

Ekspertai vis dažniau vartoja žodį „krizė“, nes sutampa keli pavojingi veiksniai:

• Masinė skaitmenizacija – beveik kiekvienas naujas automobilis turi nuotolinį ryšį, OTA (over‑the‑air) atnaujinimus, išmaniąją multimediją.
• Didžiulė programinės įrangos apimtis – modernus automobilis turi iki 100 mln. kodo eilučių, kuriose klaidų neišvengiamai daugiau nei klasikinėje IT sistemoje.
• Ilgas eksploatacijos laikas – automobiliai važinėja 10–15 metų, o saugumo architektūra dažnai moraliai pasensta jau po kelerių.
• Didelė žala vieno incidento atveju – pažeidus ne vieną, o tūkstančius to paties modelio automobilių, pasekmės gali būti ir finansinės, ir fizinės (avarijos, eismo paralyžius).

Prie viso to prisideda geopolitinė įtampa, išaugęs ransomware atakų skaičius ir tai, kad nusikaltėliai vis aktyviau žvalgosi į automobilių tiekimo grandines, įkrovimo infrastruktūrą ir parkų valdymo sistemas.

Kaip veikia šiuolaikinis automobilis: kodėl jis toks pažeidžiamas?

Norint suprasti grėsmes, verta trumpai peržvelgti, iš ko susideda šiuolaikinio automobilio „smegenys“.

ECU, CAN magistralė ir ryšio moduliai

Šiuolaikiniame automobilyje dirba dešimtys ECU (Electronic Control Unit) – tai atskiros „dėžutės“, atsakingos už variklį, stabdžius, oro pagalves, multimediją, komforto funkcijas ir t. t. Jos tarpusavyje bendrauja per CAN magistralę – duomenų tinklą automobilio viduje.

Prie šio tinklo prisijungia ir išoriniai ryšio moduliai:

• mobilusis ryšys (4G/5G),
• Wi‑Fi ir Bluetooth,
• V2X (vehicle‑to‑everything) technologijos,
• diagnostikos prievadas (OBD‑II),
• įkrovimo stotelės (elektromobiliams).

Kiekvienas toks ryšio kanalas – potencialus įėjimo taškas įsilaužėliams. Jei pavyksta perimti vieną ECU ar prievadą, neretai atsiveria kelias į visą automobilio tinklą.

Programinė įranga – naujas silpnoji grandis

Automobilių gamintojai iš mechanikos verslo tapo programinės įrangos kūrėjais, tačiau IT saugumo kultūra ne visur suspėjo paskui. Dalis valdiklių naudoja senas, retai atnaujinamas bibliotekas, o tiekimo grandinėje dalyvauja dešimtys subrangovų, kurių kodas ne visada tinkamai audituojamas.

Rezultatas – viešai atskleidžiami pažeidžiamumai, masiniai recall atšaukimai ir atvejų, kai saugumo spragos taisomos tik po to, kai jas parodo nepriklausomi tyrėjai arba realūs nusikaltėliai.

Dažniausios automobilių kibernetinės atakos 2020–2026 m.

Per pastaruosius metus viešumoje pasirodė daug realių atakų pavyzdžių. Tendencijos aiškios – nusikaltėliai juda nuo pavienių automobilių link sisteminių taikinių.

1. Nuotolinis automobilio valdymas

Dar prieš kelerius metus saugumo tyrėjai demonstravo, kaip nuotoliniu būdu galima:

• įjungti ir išjungti variklį,
• valdyti vairo stiprintuvą,
• stabdyti arba pagreitinti automobilį,
• valdyti vairo ir stabdžių sistemas per pažeidžiamus ECU.

Nors dauguma tokių demonstracijų vyko kontroliuojamomis sąlygomis, jos paskatino naujus saugumo standartus, tačiau parodė ir tai, kad fizinis atstumas nebėra apsauga – užtenka interneto ryšio.

2. Be raktelio vagystės ir signalų perėmimas

Europoje ypač paplito vadinamosios relay atakos, kai vagys sustiprina automobilio rakto signalą ir automobilis „pamini“, kad raktas šalia. Automobilis atrakintas ir užvedamas per kelias sekundes, o įsilaužėliams nereikia nei langų daužyti, nei spynų laužti.

Naujesni modeliai diegia judesio jutiklius raktuose ir pažangesnį šifravimą, tačiau didelė dalis parko vis dar pažeidžiama, o įrangą tokioms vagystėms galima nesunkiai įsigyti pogrindinėse rinkose.

3. Atakos prieš įkrovimo infrastruktūrą ir EV

Elektromobilių populiarumas atnešė naują frontą – įkrovimo stoteles ir jų valdymo sistemas. Pažeidus įkrovimo tinklo programinę įrangą, teoriškai galima:

• sutrikdyti viso miesto ar regiono elektromobilių įkrovimą,
• pakenkti elektros tinklui dėl koordinuotų apkrovų,
• pasiekti automobilių duomenis per pažeistas stoteles.

2024–2025 m. keliose šalyse jau fiksuotos atakos prieš viešas įkrovimo stoteles – dalis jų buvo „užrakintos“ reikalaujant išpirkos, kitur rodyti propagandiniai pranešimai ekranuose. Tai perspėjimas, kad elektromobilių ekosistema dar tik mokosi saugumo.

4. Duomenų vagystės ir privatumo pažeidimai

Šiuolaikiniai automobiliai renka milžiniškus kiekius duomenų:

• kelionių maršrutus ir laiką,
• vairavimo stilių,
• telefonų kontaktus ir žinutes (per multimediją),
• balsines komandas,
• vaizdo įrašus iš kamerų.

Pažeidus gamintojo serverius ar parko valdymo platformą, šie duomenys gali nutekėti, būti pardavinėjami ar naudojami šantažui. Tai jau ne tik techninis, bet ir asmeninių duomenų apsaugos klausimas, aktualus ir pagal ES BDAR.

Pasauliniai standartai ir nauji reikalavimai gamintojams

Reaguodamos į grėsmes, tarptautinės organizacijos ir valstybės kuria naujus standartus bei teisės aktus, kurie tiesiogiai palies ir Lietuvos vairuotojus.

JT ir ISO: nauji žaidimo taisyklių rėmai

Jungtinių Tautų Europos ekonomikos komisija (UNECE) priėmė R155 ir R156 reglamentus, kurie numato:

• privalomas kibernetinio saugumo valdymo sistemas (CSMS) gamintojams,
• nuolatinį kibernetinių rizikų vertinimą viso automobilio gyvavimo ciklo metu,
• privalomus programinės įrangos atnaujinimų (OTA) procesus ir jų saugumą.

Šie reikalavimai palaipsniui tampa privalomi naujai homologuojamiems modeliams daugelyje rinkų, įskaitant ES.

ISO/SAE 21434 standartas detalizuoja, kaip turi būti organizuojamas kibernetinio saugumo procesas nuo projektavimo iki utilizavimo. Tai reiškia, kad saugumas turi būti planuojamas jau dizaino stadijoje, o ne „prilipdomas“ pabaigoje.

ES ir Lietuvos kontekstas

Europos Sąjunga diegia NIS2 direktyvą, kuri griežtina kibernetinio saugumo reikalavimus svarbioms infrastruktūroms. Tai palies:

• įkrovimo tinklus ir operatorius,
• didelius automobilių parkus (logistikos, viešojo transporto),
• automobilių dalijimosi ir nuomos platformas.

Lietuvoje tai reiškia, kad transporto ir energetikos sektoriaus įmonės turės ne tik diegti technines apsaugas, bet ir raportuoti incidentus, atlikti auditą, rengti atsparumo testus.

Kas labiausiai rizikuoja: ne tik premium klasės savininkai

Dažnai manoma, kad kibernetinė rizika aktuali tik brangiems, pilnai elektriniams ar autonominiams automobiliams. Iš tikrųjų pavojų spektras platesnis.

Privatūs vairuotojai

Jiems labiausiai gresia:

• be raktelio vagystės,
• duomenų nutekėjimas per susietas paskyras ir programėles,
• nuotolinio užrakinimo ar užvedimo paslaugų perėmimas,
• šantažas, kai užblokuojamas automobilio funkcionalumas.

Verslo parkai ir logistikos įmonės

Čia rizika dar didesnė, nes ataka prieš parką gali sustabdyti veiklą:

• parkų valdymo sistemų užšifravimas (ransomware),
• GPS duomenų klastojimas,
• maršrutų ir krovinių informacijos vagystės,
• koordinuotas kelių dešimčių ar šimtų automobilių sutrikdymas.

Viešasis transportas ir autonominiai sprendimai

Autonominiai autobusai, robotiniai taksi ir pažangios pagalbos vairuotojui sistemos (ADAS) atveria naują rizikos lygį – čia kibernetinė ataka gali turėti tiesioginių fizinių pasekmių keleiviams ir pėstiesiems.

Kaip gamintojai bando suvaldyti kibernetinę krizę

Automobilių pramonė jau suprato, kad saugumas – ne vienkartinis projektas, o nuolatinis procesas. Pagrindinės kryptys:

Atskirtos architektūros ir saugūs vartai

Nauji modeliai vis dažniau naudoja zoninę architektūrą, kur:

• kritinės funkcijos (stabdžiai, vairas, oro pagalvės) fiziškai ir logiškai atskirtos nuo infotainment sistemos,
• tarp išorinio ryšio ir CAN magistralės įterpiami saugūs vartai (gateways) su ugniasienėmis ir anomalijų aptikimu.

Saugus programinės įrangos kūrimas ir atnaujinimai

Gamintojai diegia:

• šifruotus OTA atnaujinimus,
• skaitmeninį parašą programinei įrangai, kad būtų sunkiau įkelti kenkėjišką kodą,
• „bug bounty“ programas, kviečiančias saugumo tyrėjus pranešti apie spragas už atlygį.

Nuolatinis stebėjimas ir reagavimas

Atsiranda specializuoti Security Operations Center (SOC), kurie realiu laiku stebi automobilių parkų ir serverių veiklą, analizuoja anomalijas, reaguoja į incidentus ir siunčia skubius pataisymus.

Ką gali padaryti paprastas vairuotojas?

Nors didžioji atsakomybės dalis tenka gamintojams ir infrastruktūros valdytojams, vairuotojo elgesys taip pat svarbus. Kelios praktiškos rekomendacijos:

1. Aktyvuokite visus prieinamus apsaugos sluoksnius

• naudokite PIN ar slaptažodžius gamintojo programėlėse,
• įjunkite daugiapakopę autentifikaciją (2FA), jei ji siūloma,
• nepalikite prijungtų savo paskyrų (Spotify, Google ir pan.) automobilyje, kurį dažnai naudoja kiti.

2. Saugokite raktus ir fizinę prieigą

• be raktelio sistemas apsaugokite laikydami raktus specialiu Faradėjaus dėkle arba metalinėje dėžutėje namuose,
• nepalikite atsarginio rakto automobilyje,
• jei įmanoma, išjunkite pasyvią be raktelio funkciją meniu, kai jos nereikia.

3. Laiku atnaujinkite programinę įrangą

• nesidrovėkite atnaujinimų – jie dažnai taiso saugumo spragas,
• jei automobilis neatnaujina OTA, reguliariai tikrinkite atstovybėje, ar nėra naujos versijos.

4. Atsargiai su papildoma įranga ir servisais

• rinkitės tik patikimus signalizacijų, stebėjimo ir „chip tuning“ tiekėjus,
• venkite pigių OBD‑II „gadgetų“ iš nežinomų šaltinių, kurie nuolat prijungti prie automobilio,
• klauskite serviso, kaip jie saugo prisijungimus prie jūsų automobilio ir duomenų.

Artėjantys iššūkiai: autonominiai automobiliai ir dirbtinis intelektas

Kuo daugiau sprendimų perduodame algoritmams, tuo svarbesnis tampa jų saugumas ir patikimumas. Autonominiai automobiliai ir pažangūs pagalbos vairuotojui moduliai (ADAS) remiasi:

• kamerų ir radarų duomenimis,
• lidarų informacija,
• žemėlapiais ir debesijos paslaugomis,
• mašininio mokymosi modeliais.

Kibernetinė ataka gali ne tik „nulaužti“ automobilį, bet ir suklastoti jo suvokiamą realybę – pavyzdžiui, pakeisti žemėlapių duomenis, apgauti kameras specialiais ženklais ar atvaizdais. Tai visiškai naujas saugumo lygmuo, kuriam pramonė dar tik ruošiasi.

Išvada: automobilio saugumas – tai ir kibernetinis saugumas

Pasaulinė automobilių kibernetinio saugumo krizė nėra teorinė – ji jau dabar veikia automobilių kainas, draudimo sąlygas, reguliavimą ir mūsų kasdienį vairavimą. Kuo labiau automobiliai tampa „išmanūs“, tuo labiau jie panašėja į kompiuterius ant ratų, kuriuos reikia nuolat saugoti nuo įsilaužėlių.

Artimiausiais metais tikėtina:

• griežtesni ES ir nacionaliniai reikalavimai gamintojams ir parkų valdytojams,
• daugiau viešų incidentų ir precedentų teismuose,
• naujų paslaugų atsiradimas – „automobilių kibernetinis draudimas“, nepriklausomi saugumo auditai.

Vairuotojams tai reiškia vieną: renkantis automobilį reikės domėtis ne tik galia, rida ir komplektacija, bet ir kibernetinio saugumo lygiu, atnaujinimų politika bei gamintojo požiūriu į jūsų duomenų apsaugą.

DUK: automobilių kibernetinis saugumas

Ar mano automobilį tikrai gali nulaužti per internetą?

Jei jūsų automobilis turi nuolatinį ryšį (SIM, Wi‑Fi, nuotolinę programėlę) – teoriškai taip. Praktikoje dauguma atakų reikalauja specifinių žinių ir pažeidžiamumų, tačiau rizika auga. Svarbiausia – laiku diegti atnaujinimus ir naudoti stiprią autentifikaciją paskyrose.

Ar senesni, „neišmanūs“ automobiliai saugesni?

Jie mažiau pažeidžiami nuotolinėms atakoms, nes neturi tiek ryšio kanalų. Tačiau tai nereiškia, kad jie visiškai saugūs – fizinė vagystė, OBD‑II prievado išnaudojimas ar papildomos įrangos spragos vis tiek galimos. Be to, jie neturi modernių pagalbos sistemų, kurios gali padėti išvengti avarijų.

Į ką atkreipti dėmesį perkant naują automobilį 2026 m.?

Klauskite, ar modelis atitinka naujausius JT ir ES kibernetinio saugumo reikalavimus, ar gamintojas teikia OTA atnaujinimus, kiek laiko jie žadami po pirkimo, ar yra dviejų faktorių autentifikacija programėlėse ir kaip tvarkomi bei saugomi jūsų duomenys.