Noruega inicia revisão de cibersegurança após descoberta de recurso de acesso remoto em ônibus chineses

• A operadora de transporte público da Noruega, Ruter, descobriu um cartão SIM oculto em ônibus elétricos da chinesa Yutong, levando o governo a iniciar uma revisão de cibersegurança
• Em testes internos, foi identificado um cartão SIM da Romênia e, em teoria, haveria a possibilidade de o fornecedor parar remotamente os veículos ou manipular o software
• A Ruter afirmou que não há evidências de uso indevido, mas disse que a descoberta representou uma mudança do estágio de suspeita para o de fatos concretos
• A empresa removeu o cartão SIM e reforçou regras de aquisição, firewall e requisitos de segurança em nuvem para localizar o controle operacional
• De cerca de 1.300 ônibus elétricos, 850 são produtos da Yutong, e o caso destaca os riscos de segurança na cadeia de fornecimento de tecnologia estrangeira

---

Início da revisão de cibersegurança na Noruega

• A Noruega iniciou uma verificação nacional de cibersegurança após a descoberta de um cartão SIM oculto em ônibus elétricos Yutong fabricados na China
  • Os ônibus são operados pela Ruter, empresa de transporte público, e o cartão SIM foi encontrado durante testes em instalações internas de segurança
  • Esse cartão SIM implicava a possibilidade de acesso remoto e controle dos veículos
• A Ruter explicou que confirmou a possibilidade teórica de o fornecedor chinês parar os veículos ou intervir por meio de atualizações de software
  • No entanto, não houve casos reais de uso indevido, e a descoberta foi descrita como uma “mudança da suspeita para fatos concretos”

Medidas de resposta da Ruter

• A Ruter concluiu imediatamente a remoção do cartão SIM e iniciou o reforço dos procedimentos de aquisição e da estrutura interna de segurança
  • O objetivo é garantir o controle local de toda a operação de transporte, fortalecendo os firewalls internos e os requisitos de segurança em nuvem
• A empresa também está revisando futuras condições de licitação e contrato para reforçar a segurança da cadeia de fornecimento

Reação do governo e direção das políticas

• O ministro dos Transportes da Noruega, Jon-Ivar Nygård, disse em entrevista à emissora pública NRK que
  está em andamento uma avaliação de risco de fornecedores de países fora das alianças de segurança da Noruega
  • Ele enfatizou a necessidade de proteger a infraestrutura crítica
• O governo está reavaliando os padrões de segurança digital dos sistemas de transporte público a partir deste caso

Situação da operação de ônibus elétricos e avaliação de risco

• A Noruega tem cerca de 1.300 ônibus elétricos em operação, dos quais aproximadamente 850 são da Yutong
  • Só nas regiões de Oslo e Akershus, cerca de 300 estão em operação
• A Ruter avaliou que a possibilidade de uma tentativa real de interferência é baixa, mas afirmou que
  o caso mostra o aumento dos riscos de cibersegurança ligados a fornecedores estrangeiros de tecnologia

Contexto internacional

• Em meio à expansão global dos ônibus elétricos chineses, especialmente com a disseminação no mercado do Sudeste Asiático,
  o caso levanta preocupações sobre a dependência digital e a vulnerabilidade estratégica dos sistemas de transporte público
• O CEO da Ruter, Bernt Reitan Jenssen, afirmou: “A possibilidade de uso malicioso desses ônibus é baixa, mas o risco deve ser tratado com seriedade”

Não há informações adicionais no texto original

[GN⁺]

Opiniões do Hacker News

• Trabalho com segurança ferroviária. Alguns anos atrás, duas grandes empresas ferroviárias não chinesas tentaram se fundir, com o objetivo de competir com uma estatal chinesa e reduzir o risco de ataques cibernéticos nas ferrovias ocidentais
  Mas um funcionário da UE bloqueou isso por motivos de antitruste, e a fusão fracassou. Depois houve várias tentativas de ajuste, mas no fim nunca foi autorizada
  Como resultado, a CRCC da China continua fechando contratos no exterior. Há suspeitas de que use contratos baratos, mesmo com prejuízo, para buscar roubo de propriedade intelectual. Dominar redes ferroviárias também tem enorme importância estratégica do ponto de vista militar
  O texto é sobre ônibus, mas os paralelos com as ferrovias são claros

  • Há um ano, um fornecedor ferroviário da Polônia entrou com processo por causa de um caso de jailbreak no software de locomotivas. A alegação era que terceiros permitiram manutenção não oficial
    A tecnologia de vigilância embutida no produto pode não ser necessariamente para guerra, mas isso também não a torna algo bom
  • Mesmo que a fusão europeia tivesse acontecido, ela ainda seria 10 vezes menor que as empresas chinesas e, dentro da Europa, seria praticamente um monopólio. Não acho que a decisão de barrar a fusão tenha sido totalmente errada
  • O Ocidente é complacente demais com esse tipo de burocrata. A China opera empresas subsidiadas pelo Estado violando abertamente as regras da OMC, e quem toma esse tipo de decisão enfraquece a resposta ocidental
  • No fundo, questiono por que deveriam existir “empresas ferroviárias privadas”
  • Logística é central em guerra, então a importância estratégica do controle ferroviário não pode ser subestimada. A mesma lógica vale para drones e carros

• Fico curioso se foi a empresa chinesa que colocou um cartão SIM romeno no ônibus, ou se isso foi instalado pelo importador
  Também me pergunto se a conexão era para funções de gerenciamento da frota ou se era de fato uma comunicação secreta
  Além disso, não entendo por que alguém iria querer comprar ônibus sem monitoramento remoto. Isso é até um recurso útil no transporte público

  • A tal função de gerenciamento do veículo estava documentada e podia ser desativada facilmente
  • Isso tem cheiro de mera propaganda ocidental anti-China. Parece que veio uma ordem de cima para aumentar a pressão sobre a China
    Soa como parte de uma engenharia social para criar um clima de medo e fazer governos locais evitarem produtos chineses
  • Se a China quisesse esconder algo, teria usado um eSIM sem identificação
    Provavelmente escolheram um plano SIM romeno porque funciona bem em todo o EEE
    É um caso exagerado de FUD (medo, incerteza e dúvida), mas ainda assim deveria ter havido mais cautela com o fato de metade dos veículos serem de origem chinesa

• É uma pena que a Noruega tenha comprado veículos chineses a milhares de km de distância, tendo fabricantes de ônibus como Scania e Volvo logo ao lado
  Hoje em dia parece que redução de custos decide tudo. Mas, em infraestrutura nacional, segurança e controle são mais importantes

  • Mais triste ainda é que até a Suécia trocou suas marcas nacionais por ônibus da BYD
  • Fiquei surpreso ao saber que a Volvo fabrica ônibus na Suécia. Mas, como já tem 78% de participação chinesa, na prática é uma empresa chinesa
  • A China está pelo menos 10 anos à frente de Scania/Volvo em tecnologia de ônibus elétricos. É bem possível que, na época, as empresas europeias nem tivessem modelos adequados
  • A Tide, da Noruega, pretende introduzir ônibus elétricos da Scania no verão do ano que vem
    Comunicado relacionado
  • Na verdade, ônibus suecos também têm cartão SIM. A diferença é quem pode usar esse backdoor
    Claro que hoje é quase nula a chance de a Suécia atacar a Noruega, mas historicamente é uma ironia interessante

• Teve aquele caso do backdoor em trens poloneses, e fiquei curioso para saber no que deu

  • Ainda está em tramitação na Justiça. Artigo relacionado
  • É hipocrisia tolerar o engano ao consumidor por parte de empresas nacionais e só tratar a influência estrangeira como problema
  • No fim das contas, a intenção era apenas espalhar notícias para gerar medo

• Surpreende a Noruega ter escolhido essa marca. Ao andar nela, parece que você está sentado dentro de uma caldeira

  • Mas, se a temperatura média do verão norueguês é algo em torno de 18 °C, talvez esse calor não seja um grande problema

• Se a chave de atualização remota vazar, seria possível transformar centenas de milhares de veículos em peso morto
  É realmente assustador manter um sistema desses

  • Mais assustador do que inutilizar os veículos seria um superaquecimento das baterias. Imagine todos os veículos de uma cidade pegando fogo ao mesmo tempo

• Se um Estado realmente quisesse esconder uma função de controle para espionagem, jamais usaria um meio de comunicação tão fácil de expor quanto um eSIM
  Isso faz parte apenas das funções de diagnóstico remoto de IoT que os fabricantes vêm empurrando há anos
  Enquanto isso, o Ocidente exagera isso como se fosse uma nova ameaça e enquadra tudo numa narrativa de guerra comercial
  Como no caso dos drones da DJI, colocam a função por exigência regulatória e depois usam isso contra a empresa
  Link relacionado

• Se fosse eSIM, teria sido muito mais difícil detectar ou remover?
  Só para constar, a Suécia também introduziu recentemente ônibus elétricos da BYD

  • O artigo não explica exatamente como detectaram, mas parece que encontraram diretamente a porta SIM ou o cartão
    Se tivessem feito um teste em gaiola de Faraday, não faria diferença se era eSIM ou não
    No fim, acho que não faria grande diferença

• Na minha opinião, isso é uma polêmica por nada
  Se esse recurso de acesso remoto estivesse em um produto de outro país, seria apenas chamado de função de atualização de software
  A China desativar os ônibus? Isso seria uma atitude irrealista e sem sentido
  Na verdade, a maioria dos eletrônicos tem atualização automática e, em teoria, empresas americanas também poderiam controlar remotamente seus produtos
  Nesse sentido, o risco real está em outro lugar

• Se ônibus têm esse tipo de função, fico pensando no que pode estar escondido em MacBooks ou smartphones
  Será que dá mesmo para confiar na Apple?

  • O que mais me preocupa são periféricos baratos de PC, roteadores e dispositivos de casa inteligente
    Até inversores solares ficam conectados à internet e podem ser explorados remotamente em uma guerra
  • Há casos relacionados, como a polêmica do chip espião da Supermicro e o
    caso do backdoor no firmware da Gigabyte
  • A Apple não tem como não saber. É uma das empresas mais vigiadas do mundo, e muita gente está obcecada em encontrar qualquer falha
  • E também não dá para esquecer o Cloud Act dos EUA
  • Pode até haver possibilidade de interferência da TSMC, mas a segurança de hardware da Apple é muito forte
    Todos os dados fora do SoC são criptografados
    O verdadeiro risco não está na Apple ou no Google, e sim em periféricos fabricados na China