About Teletype
Join
Андрей Жаркевич
@azhark
Yesterday

Ваш автомобиль — не ваш: как подключённые машины стали частью ботнета автопроизводителей

Я езжу на немолодом автомобиле без подключённых к интернету электронных блоков управления. Без приложения на смартфоне, без облачной телеметрии, без обновлений по воздуху (ОТА). Мой автомобиль не знает, куда я еду. Он не записывает мои разговоры. Он не отправляет данные о моём стиле вождения страховой компании. И что особенно важно — никто не может дистанционно его заблокировать, отключить кондиционер или заставить самостоятельно доехать до штрафстоянки.

Это не луддизм и не ностальгия. Это осознанный выбор, основанный на том, что я знаю о современных подключённых автомобилях. А знаю я о них немало — пять лет назад я писал серию статей об угрозах кибербезопасности для подключённых автомобилей по материалам исследований Trend Micro. Уже тогда картина выглядела тревожно: удалённые взломы Jeep Cherokee через незащищённый порт telnet, компрометация Tesla через уязвимости браузера, атаки на BMW через поддельные GSM-станции. Сто миллионов строк кода, более 150 электронных блоков управления, CAN-шины без шифрования — и всё это на скорости 120 км/ч.

С тех пор ситуация стала значительно хуже.

Санкции: автомобиль, который вам больше не принадлежит

Если вы думали, что купленный за несколько миллионов рублей автомобиль — ваша собственность, у автопроизводителей другое мнение. В апреле 2023 года Mercedes-Benz отключил сервис Mercedes me ID для российских пользователей. Дистанционный запуск двигателя, управление замками, автопарковка, поиск автомобиля на стоянке — всё это перестало работать по щелчку на сервере в Штутгарте.

Но это полбеды. Mercedes-Benz отключил российских дилеров от сервисного программного обеспечения. Официальный дистрибьютор MB RUS подтвердил:

«Дилеры отключены от онлайн-систем производителя. В ряде случаев отсутствие доступа к онлайн-системам приведёт к увеличению сроков ремонта».

Мерседесом дело не ограничилось. Skoda, Kia, Infiniti, Nissan и Renault ограничили работу мобильных приложений для российских пользователей — перестали работать удалённый запуск двигателя, управление замками, контроль уровня топлива, OTA-обновления ПО двигателя, ABS и тормозной системы. В августе 2023 года BMW и Audi отключили BMW ConnectedDrive и AudiService — владельцы потеряли возможность даже изготовить дубликаты ключей. Volvo прекратил работу Volvo On Call в сентябре 2023-го, причём дилеры рекомендовали клиентам «не терять ключи от автомобиля, так как перепрограммировать их будет невозможно».

Но хуже всех пришлось владельцам Porsche. Заводская спутниковая сигнализация VTS (Vehicle Tracking System), установленная на всех моделях с 2013 года, начала блокировать запуск двигателя. В декабре 2025-го это превратилось в массовую эпидемию: сотни Porsche по всей России — 911, Panamera, Cayenne, Macan — «окирпичились» прямо на ходу. Дилерский центр «Рольф» подтвердил: «Связь отсутствует по всем моделям. Любой автомобиль может быть заблокирован». Решение — физическое удаление блока VTS за 15–46 тыс. руб.

Самое пугающее — не прекращение обновлений, а удалённая блокировка автомобилей и стирание диагностического ПО с оборудования сервисных центров. При подключении несертифицированного оборудования к BMW X3 2023 года «на приборной панели загорелись все значки разом — машина решила, что её угнали, и отключила часть функций». Автомобиль пришлось эвакуировать к дилеру. Автомобиль физически на месте, но починить его нельзя — ключ от вашего имущества в чужих руках.

Давайте назовём вещи своими именами. Если говорить в терминах информационной безопасности, современный подключённый автомобиль — это участник ботнета. Он постоянно подключён к серверу управления (C&C, command and control), принадлежащему автопроизводителю. Этот сервер может отправлять автомобилю произвольные команды: обновить прошивку, отключить функцию, заблокировать запуск, стереть данные. Владелец автомобиля не контролирует этот канал связи. По сути, он — бесправный оператор терминала, а не хозяин машины с полномочиями администратора.

Подписка на багажник: платите за то, что уже купили

Автопроизводители быстро поняли: если автомобиль управляется с сервера, на этом можно зарабатывать бесконечно. В июле 2022 года BMW начал продавать подогрев сидений за $18 в месяц по подписке. Да, все нагревательные элементы уже физически установлены в вашем автомобиле. Вы за них заплатили. Но чтобы ими пользоваться, нужно платить ежемесячную дань.

После волны общественного возмущения BMW отказался от подписки на подогрев сидений в сентябре 2023-го. Но вот совсем от подписочной модели отказываться не стал. Актуальный прайс BMW на 2024–2025 год:

  • подогрев руля — от $19/мес.;
  • удалённый запуск двигателя — от $29/мес.;
  • информация о трафике в реальном времени — $115;
  • видеорегистратор BMW Drive Recorder — по подписке.

Toyota перевела на подписку функцию Remote Connect — удалённый запуск, блокировка дверей, статус автомобиля: $8–15 в месяц. Для моделей RAV4 с 2023 года отдельную подписку даже нельзя купить — только в составе пакета за $15/мес. без возможности сэкономить на годовой оплате.

Mercedes-Benz пошёл ещё дальше: предложил владельцам электромобилей EQ подписку на ускорение за $1200 в год. Представляете? Мотор уже есть. Батарея установлена, контроллер запрограммирован. Но производитель искусственно ограничивает мощность и продаёт разблокировку как отдельную опцию. Выручка Mercedes от подписочных сервисов в 2022 году составила $1,6 млрд.

Удалённая блокировка: автомобиль как инструмент принуждения

В марте 2023 года Ford подал патент на систему удалённой блокировки автомобиля при пропуске платежей по кредиту. Система может отключить кондиционер, заблокировать двери, а в случае автономных автомобилей — самостоятельно доехать до стоянки для конфискации. Перечитайте последнее предложение ещё раз: ваш автомобиль может сам уехать от вас по команде банка.

Tesla уже реализовала подобное на практике. Задокументированные случаи: удаление функций Autopilot при перепродаже (покупатель заплатил за автомобиль с опцией, а Tesla отключила её удалённо), блокировка автомобиля за неоплаченный счёт на $26 000, ошибочная блокировка из-за того, что Tesla не обналичила банковский чек. Лишь в 2023 году Tesla наконец добавила переключатель, позволяющий владельцу отключить возможность компании отправлять дистанционные команды. До этого у производителя был карт-бланш.

Масштаб проблемы поражает: в США уже около 2 миллионов автомобилей оснащены «стартер-интерраптерами» — устройствами, позволяющими кредитору дистанционно заблокировать запуск двигателя. Рынок систем удалённого отключения оценивается в $350 млн и продолжает расти.

Тотальная слежка: худшая категория продуктов в истории

В сентябре 2023 года Mozilla Foundation опубликовала исследование «Приватность не включена» («Privacy Not Included»), в котором все 25 проверенных автомобильных брендов провалили тест на приватность. Автомобили стали худшей категорией продуктов за всю историю обзоров Mozilla — даже хуже, чем умные колонки, камеры наблюдения или фитнес-трекеры.

Цифры говорят сами за себя:

  • 84 % автопроизводителей продают данные потребителей или делятся ими;
  • 76 % заявляют о праве продавать персональные данные;
  • 56 % готовы передавать информацию правоохранительным органам по запросу.
«Если три исследователя приватности едва могут разобраться в происходящем с автомобилями, какие шансы у обычного занятого человека?» — Mozilla Foundation

Nissan был назван худшим нарушителем. Mozilla назвала их политику конфиденциальности «вероятно, самой безумно жуткой, пугающей и грустной из всех, что мы когда-либо читали». Nissan прямо заявляет о праве собирать «чувствительную персональную информацию, включая номер водительского удостоверения, гражданство, расу, национальное происхождение, религиозные и философские убеждения, сексуальную ориентацию, сексуальную активность, данные медицинских диагнозов и генетическую информацию». Более того, компания признаёт, что может продавать брокерам данных и передавать правоохранительным органам «предпочтения, характеристики, психологические тенденции, предрасположенности, поведение, установки, интеллект, способности и склонности» своих клиентов. Как именно автомобиль собирает данные о сексуальной жизни владельца, Nissan не уточняет — представитель компании лишь заявил, что политика «написана максимально широко для соответствия законам штатов». Kia тоже упоминает в своей политике сбор информации о «половой жизни», а шесть автопроизводителей заявляют о праве собирать «генетические данные».

Tesla стала лишь вторым продуктом за всю историю Mozilla, получившим все негативные отметки приватности.

Скандал GM/OnStar: 61 цент за ваши данные

В марте 2024 года New York Times раскрыла, что General Motors через программу OnStar Smart Driver тайно собирала данные о манере вождения — резкое торможение, ускорение, GPS-координаты — и продавала их компаниям LexisNexis и Verisk, которые перепродавали информацию страховым компаниям. Страховка одного из пострадавших выросла на 21 % из-за данных, собранных без его ведома. Всего затронуто 8 миллионов водителей.

Расследование сенаторов показало: Hyundai делился данными с 1,7 млн автомобилей с Verisk, получив $1 043 315 — по 61 центу за автомобиль. Honda делился данными с 97 000 автомобилей, получив $25 920 — по 26 центов за машину. Стоимость вашей приватности в глазах автопроизводителей — меньше доллара.

К ноябрю 2024 года подано 32 коллективных иска. По оценкам экспертов, автопроизводители и телематические компании получают более 280 000 запросов от правоохранительных органов в год. Для сравнения, Google получил менее 80 000 запросов в 2020 году. Ваш автомобиль сдаёт вас чаще, чем ваш смартфон.

Камеры и микрофоны: подслушивание в салоне

Все модели Tesla оснащены камерой в салоне над зеркалом заднего вида, охватывающей весь салон. В 2024 году Tesla начала требовать работающую камеру для использования Autopilot — владелец Model 3, заклеивший объектив, обнаружил, что оплаченная функция за $5000 перестала работать. Помимо камеры, Tesla внедряет радар 60–64 ГГц для мониторинга пассажиров в салоне.

Volkswagen был оштрафован на €1,1 млн за нарушение GDPR в связи с использованием камер. Автомобили с голосовыми ассистентами собирают биометрические голосовые данные. Современный подключённый автомобиль собирает данные с более чем 100 индивидуальных точек: геолокация, поведение водителя, записи микрофонов, видео с камер, биометрия.

Android в автомобиле: 100 миллионов машин под управлением Google

Android Automotive OS (AAOS) установлен в более чем 100 миллионов автомобилей и стал доминирующей платформой информационно-развлекательных систем. Его используют GM, Ford, Volvo, Polestar, Volkswagen, Stellantis, Honda — всего 16 крупных брендов. В отличие от Android Auto, AAOS работает непосредственно в автомобиле, взаимодействуя с электронными блоками управления.

Исследование PriDrive (Clemson University, 2024) выявило масштаб проблемы:

  • скорость автомобиля собирается примерно 25 раз в секунду;
  • политики конфиденциальности покрывают лишь 13 % фактически собираемых данных;
  • Google Maps для AAOS запрашивает разрешения на доступ к данным силовой установки (CAR-POWERTRAIN — обороты двигателя, передача, скорость) и к информации о разъёмах зарядки (CAR-ENERGY-PORTS — тип топлива, уровень заряда батареи);
  • сторонние приложения могут обходить ограничения, вычисляя скорость из данных об оборотах двигателя и текущей передаче — без явного согласия пользователя.

Реакция потребителей красноречива: 71 % водителей рассматривают покупку старого автомобиля, чтобы избежать навязчивого сбора данных.

Взломы: 92 % атак проводятся удалённо

По данным Upstream Security, количество инцидентов кибербезопасности в автомобильной отрасли выросло с 295 в 2023 году до 409 в 2024-м — рост на 39 %. Инциденты, затрагивающие миллионы автомобилей, утроились. 92 % атак проводятся удалённо. Финансовый ущерб — $22,5 млрд.

Несколько ключевых инцидентов, которые стоит осмыслить.

Kia: достаточно знать номерной знак, чтобы захватить чужой автомобиль. В июне 2024 года исследователь Sam Curry обнаружил уязвимость дилерского портала Kia, позволяющую захватить управление любым автомобилем Kia, произведённым после 2013 года. Для атаки достаточно знать номерной знак. Через уязвимость атакующий мог отслеживать местоположение, запускать и останавливать двигатель, блокировать и разблокировать двери, активировать камеры — и всё это без какого-либо уведомления владельца.

«Автомобили будут продолжать иметь уязвимости, потому что так же, как Meta может внести изменение в код, позволяющее захватить ваш аккаунт Facebook, автопроизводители могут сделать то же самое с вашим автомобилем» — Sam Curry

Subaru STARLINK: полная история перемещений за год. В ноябре 2024 года Sam Curry и Shubham Shah взломали административную панель Subaru STARLINK — нашли email сотрудника на LinkedIn, сбросили пароль без подтверждения, обошли двухфакторную аутентификацию. Результат: доступ к дистанционному управление автомобилями в США, Канаде и Японии, полной истории перемещений с точностью до 5 метров.

«Автомобильная индустрия уникальна тем, что 18-летний сотрудник из Техаса может запросить платёжную информацию об автомобиле в Калифорнии, и это не вызовет никакой тревоги. Это часть их обычной повседневной работы» — Sam Curry

CDK Global: 15 000 дилеров парализованы. В июне 2024 года группа BlackSuit атаковала CDK Global — поставщика ПО для 15 000 автодилеров в Северной Америке. Ущерб превысил $1 млрд. Продажи новых автомобилей в июне упали на 7,2 %. CDK заплатил $25 млн выкупа.

Pwn2Own Automotive 2024: за три дня соревнований обнаружены 49 уникальных уязвимостей нулевого дня. Команда Synacktiv получила административный доступ к Tesla через имитацию GSM-станции, а на Pwn2Own Vancouver заработала $200 000 за взлом ECU Tesla с доступом к CAN-шине и выиграла новую Model 3.

Jaguar Land Rover (2025): самый разрушительный киберинцидент в истории британского автопрома. Атака группы Scattered Lapsus$ Hunters вынудила полную остановку производства на всех заводах мира более чем на месяц. Потери — около £50 млн в неделю.

Эпидемия краж Kia/Hyundai: $50 экономии, 8 смертей

Отдельная история — тотальная уязвимость 8,3 миллиона автомобилей Kia (2011–2021) и Hyundai (2016–2021) на рынке США. Эти машины не имели иммобилайзера — стандартной защиты от угона ценой в $50–100. В июле 2022 года на TikTok появилось видео, демонстрирующее угон за 30 секунд с помощью USB-кабеля вместо ключа. Группа «Kia Boyz» распространила метод по всей стране.

Результат: страховые претензии выросли более чем на 1000 %, в некоторых городах 60 % угонов приходятся на Kia и Hyundai, тренд привёл к 8 смертям. Программное обновление от производителей не решило проблему. Крупные страховщики отказываются страховать уязвимые модели.

Регулирование: бумага стерпит, а автомобиль — нет

Существуют международные стандарты: UN R155 требует сертифицированной системы управления кибербезопасностью, R156 — системы управления обновлениями ПО, ISO/SAE 21434 определяет, как выполнить требования. С июля 2024 года требования распространены на все новые автомобили в ЕС.

Проблемы? Их достаточно:

«Если вы пытались обеспечить безопасность через соответствие требованиям, вы ведёте проигрышную битву» — Rocco Grillo, Managing Director, Alvarez & Marsal

Что впереди: автомобили как мобильное оружие

Статистика RunSafe Security за 2025 год говорит всё:

  • лишь 19 % водителей подключённых автомобилей уверены в защищённости от кибератак;
  • 76 % опасаются, что кибератаки могут вызвать аварии или угрожать жизни;
  • 87 % учитывают кибербезопасность при решении о покупке;
  • 70 % рассматривают покупку старых, менее подключённых автомобилей.
«Реальность такова, что автомобильная кибербезопасность — это не только защита данных, это предотвращение превращения автомобилей в мобильное оружие. Водители не параноики в своих опасениях. Они осознают, что скомпрометированный автомобиль может стоить жизни» — Joe Saunders, RunSafe Security
«Я не хочу давать идеи злоумышленникам, но как только произойдёт серия неизолированных атак, которые унесут жизни, мы быстро увидим огромный общественный резонанс. К сожалению, мы обычно ждём, пока случится трагедия, и только тогда принимаем меры» — Yigal Unna, бывший глава Национального киберуправления Израиля

Вы не владелец. Вы — оператор чужого терминала

Давайте соберём всё вместе и посмотрим на картину целиком.

Вы покупаете автомобиль за несколько миллионов. Но производитель в любой момент может отключить оплаченные функции, заблокировать двигатель, стереть диагностическое ПО, а по патенту Ford — заставить машину самостоятельно уехать от вас на штрафстоянку. Ваши данные о поездках, стиле вождения, разговорах в салоне и даже о вашей сексуальной жизни продаются брокерам за 61 цент. Камера над зеркалом заднего вида снимает всё, что происходит в салоне, а если вы заклеите её, вам отключат автопилот, за который вы заплатили $5000. Правоохранительные органы запрашивают данные с вашего автомобиля чаще, чем из Google. А любой достаточно мотивированный хакер, зная только ваш номерной знак, может получить полный контроль над машиной — завести двигатель, открыть двери, включить камеры, проследить каждый ваш маршрут за последний год.

Это не антиутопия. Это документированная реальность 2025 года, подтверждённая десятками исследований, судебных исков и публичных инцидентов.

Современный подключённый автомобиль — это не средство передвижения, которым вы владеете. Это терминал в сети автопроизводителя, к которому вам продали доступ на условиях, которые вы не читали, не понимаете и не контролируете. Производитель — администратор. Хакер — потенциальный администратор. А вы — бесправный пользователь с одной привилегией: платить.

Я продолжу ездить на своей «глупой» машине, а когда соберусь покупать новую, буду выбирать из таких же «несовременных». И вряд ли это будет продукция АвтоВАЗа, хотя и по другим причинам. А вот 70 % опрошенных водителей, задумывающихся о покупке именно старого автомобиля без подключения к серверам автопроизводителя, — возможно, самые разумные люди в этой истории.

Ваша машина должна везти вас туда, куда хотите вы, а не отчитываться о поездке и манере езды перед производителем, страховой компанией, рекламным брокером и полицией. Если для этого нужен автомобиль без модема, значит, следует купить автомобиль без модема.

Источники

Андрей Жаркевич
Yesterday, 19:36
0 views
0 reactions
0 replies
0 reposts