Dinamarca age para corrigir falha de segurança em ônibus elétricos chineses após testes na Noruega

Por que um teste com ônibus na Noruega acendeu o alerta na Dinamarca

A Dinamarca corre para proteger sua rede de ônibus públicos depois que testes controlados na Noruega mostraram que ônibus elétricos de fabricação chinesa incluem conectividade remota que poderia ser usada para desligar veículos durante a operação. A conectividade existe por motivos legítimos, principalmente para atualizações de software e diagnósticos. Especialistas em segurança dizem que o mesmo canal, se usado indevidamente, poderia interromper as operações. Agências e operadores dinamarqueses agora examinam centenas de ônibus em circulação diária, incluindo 262 veículos da Yutong operados pela Movia em Copenhague e arredores, para garantir que nenhum controle remoto sem gerenciamento possa afetar o serviço.

A operadora de transporte público da Noruega, Ruter, realizou testes com dois ônibus da Yutong em um ambiente isolado. Engenheiros confirmaram que o fabricante podia se conectar a sistemas que dão suporte a atualizações, diagnósticos e gerenciamento de energia. Os investigadores constataram que retirar os cartões SIM bloqueava o contato externo. Essa medida também interrompeu serviços importantes, como informações de chegada em tempo real, detecção remota de falhas e manutenção preditiva. A Ruter notificou autoridades nacionais e locais e está preparando requisitos de segurança mais rigorosos para futuras licitações.

A Yutong rejeita a ideia de que um fornecedor possa direcionar, frear ou acelerar um ônibus à distância. A empresa afirma que a conexão de dados existe para manutenção e que os dados europeus são armazenados em uma instalação da Amazon Web Services em Frankfurt, protegidos por criptografia e controles de acesso. Não há casos registrados de desligamento remoto de ônibus na Noruega ou na Dinamarca. Ainda assim, operadores consideram qualquer via de acesso não controlado a equipamentos críticos um risco inaceitável.

O que a Noruega descobriu durante os testes com ônibus

A Ruter informou que suas equipes encontraram módulos de armazenamento e cartões SIM integrados que permitiam uma conexão móvel segura entre os ônibus e servidores externos. A conexão dava suporte a diagnósticos remotos e atualizações de software. Os engenheiros concluíram que um usuário mal-intencionado, ou uma conta de fornecedor comprometida, poderia conseguir interromper o fornecimento de energia ou outras funções que mantêm o ônibus em movimento. O teste não demonstrou direção ou frenagem remotas. Ele destacou, porém, a possibilidade de parar um ônibus cortando a tração ou a energia.

A operadora também examinou ônibus de um fabricante europeu de idade semelhante. Esses veículos não usavam funções de atualização remota, o que reduzia a superfície de ataque, mas também limitava a flexibilidade e a eficiência da manutenção. O contraste, somado às descobertas sobre a Yutong, convenceu autoridades norueguesas de que são necessários requisitos de contratação mais claros para qualquer marca que dependa de serviços conectados.

A solução dos cartões SIM e seus custos

Retirar os cartões SIM corta imediatamente a conexão remota, mas também desativa ferramentas das quais muitas agências de transporte dependem. Painéis e previsões de chegada em aplicativos móveis em tempo real dependem da conectividade dos veículos. O mesmo vale para diagnósticos remotos e planejamento da manutenção de software. Uma desconexão permanente atrasaria a retomada do serviço quando ocorressem falhas e poderia aumentar os custos, pois os técnicos perderiam telemetria detalhada e alertas antecipados. Os operadores avaliam proteções direcionadas que mantenham os fluxos de dados essenciais e bloqueiem qualquer acesso do fornecedor que não seja explicitamente autorizado e supervisionado.

Os ônibus chegaram a ser controlados por terceiros?

Autoridades afirmam que não houve casos de manipulação remota de ônibus em operação. A Yutong declara que funções críticas para a segurança, como direção, propulsão e frenagem, não aceitam comandos de redes externas. Os testes da Ruter e os esclarecimentos de especialistas apontam para um risco mais específico. Os ônibus poderiam ficar inoperantes se a energia ou o gerenciamento da bateria fossem alterados por um canal conectado. Esse tipo de interrupção seria grave para as operações, mesmo que os motoristas mantenham o controle total do veículo enquanto ele estiver em movimento.

O diretor-executivo da Ruter, Bernt Reitan Jenssen, disse que a probabilidade de uma tentativa de interferência continua baixa, mas defendeu medidas para reduzir a exposição.

Precisamos levar o risco a sério.

Como a Dinamarca está reagindo

A Agência Dinamarquesa de Proteção Civil e Gestão de Emergências afirma não ter conhecimento de casos confirmados de desativação remota na Dinamarca. A agência alerta que subsistemas e sensores conectados à internet poderiam ser explorados para interromper o serviço caso os controles de segurança fossem fracos. Ela acompanha os acontecimentos e avalia se as orientações atuais são adequadas, além de estar pronta para orientar os operadores sobre prevenção e resposta.

A Movia, maior empresa de transporte público da Dinamarca, opera 469 ônibus elétricos de fabricação chinesa na Zelândia, dos quais 262 são da Yutong. O diretor de operações da Movia, Jeppe Gaard, reconheceu que veículos conectados podem ficar expostos a interferências remotas quando os sistemas de software estão em redes abertas. Ele observou que a preocupação afeta uma ampla gama de veículos e dispositivos conectados. Não se limita aos ônibus chineses. A Movia planeja endurecer os requisitos de cibersegurança em novas licitações e avalia medidas de proteção para sua frota atual.

Representantes políticos e grupos da sociedade civil defendem padrões nacionais que tratem o transporte público como infraestrutura crítica. Eles argumentam que a forte dependência de fornecedores estrangeiros reduz a resiliência em momentos de crise. Parlamentares estudam opções como critérios uniformes para licitações, avaliação de riscos de fornecedores, regras para armazenamento de dados no país e limites ao acesso remoto sem gerenciamento. Qualquer mudança precisaria respeitar as leis de contratação pública da Dinamarca e da União Europeia e, ao mesmo tempo, dar aos operadores ferramentas práticas para manter o serviço em funcionamento.

O que a Yutong diz sobre acesso e dados

A Yutong afirma que não é possível controlar remotamente as funções críticas para a segurança de seus ônibus. A empresa diz que a unidade de controle principal é separada dos sistemas de direção, propulsão e frenagem. A conexão de dados dá suporte a diagnósticos, monitoramento de desempenho e funções de conforto, como o pré-condicionamento da cabine. As atualizações exigem aprovação explícita do operador. A empresa também afirma que os dados armazenados na União Europeia ficam em Frankfurt e são protegidos por criptografia e controles de acesso rigorosos. A Ruter explicou que suas descobertas descrevem um risco teórico e que não houve casos relacionados à segurança.

O risco técnico explicado

Ônibus modernos contam com uma unidade telemática conectada a redes celulares. Essa unidade se comunica com uma plataforma na nuvem para enviar dados de status e receber pacotes de software ou alterações de configuração. Dentro do veículo, uma rede CAN conecta subsistemas de propulsão, baterias, portas, aquecimento e painéis do motorista. Um bom projeto mantém os circuitos críticos para a segurança em linhas separadas, com isolamento robusto. Na prática, há interfaces entre redes para que as equipes de suporte possam diagnosticar falhas e aplicar correções. Essas mesmas interfaces atraem invasores quando as verificações de identidade ou as regras de acesso são fracas.

O risco plausível não é um sequestro remoto digno de Hollywood. A principal preocupação é um comando remoto que desative a propulsão ou a energia, ou uma atualização de software que danifique um componente e impeça o ônibus de se mover. Se centenas de veículos compartilharem a mesma configuração e a mesma conta de fornecedor, uma única invasão poderá causar uma interrupção generalizada, mesmo sem afetar a direção ou os freios. As agências querem provas de que os canais remotos vêm desativados por padrão, de que o acesso baseado em funções é aplicado e de que os operadores podem interromper instantaneamente as conexões externas caso suspeitem de uso indevido.

O que poderia ser afetado na prática

• Ativação da potência de tração e condições de partida do inversor
• Configurações do gerenciamento da bateria, incluindo limites de carga e descarga
• Lógica e programação do controle de recarga
• Distribuição de energia de baixa tensão que alimenta unidades de controle e sensores
• Sistemas da cabine, como aquecimento, ventilação e iluminação

As equipes de segurança se concentram em reforçar a proteção desses caminhos sem perder os dados necessários para operações seguras e eficientes. O objetivo é manter os diagnósticos remotos e as atualizações não críticas, com controles robustos que impeçam qualquer ação remota capaz de imobilizar um veículo sem aprovação local.

Como poderiam ser as novas regras

Empresas de transporte, órgãos reguladores e fornecedores estão elaborando medidas de proteção adequadas a frotas conectadas. As medidas buscam preservar os benefícios da telemetria e do suporte remoto e, ao mesmo tempo, fechar qualquer via de acesso não gerenciada ao sistema de tração. As cláusulas contratuais, a certificação e os controles técnicos precisarão estar alinhados para que os operadores tenham a palavra final sobre o que entra na rede de um ônibus e quando.

• Controle local da conectividade, com possibilidade de desativar instantaneamente o acesso do fornecedor
• Controle de atualizações, com análise e assinatura de firmware e alterações de configuração antes da instalação
• Separação rigorosa entre diagnósticos e redes críticas para a segurança
• Acesso baseado em funções e autenticação multifator para todas as sessões remotas
• Registros imutáveis e auditorias independentes das conexões remotas
• Regras claras para armazenamento de dados e padrões de criptografia
• Avaliação de riscos dos fornecedores nas licitações, incluindo práticas de desenvolvimento seguro e capacidade de resposta a incidentes
• Testes de invasão por terceiros e certificação de plataformas de veículos conectados

O que isso significa para passageiros e cidades

Os passageiros não devem esperar mudanças imediatas no serviço. Os ônibus são conduzidos por pessoas e não podem ser operados de fora do veículo. Os operadores afirmam que as câmeras desses ônibus não estão conectadas à internet, portanto não há risco de transmissão de imagens ao vivo. Se um operador retirar os cartões SIM para isolar os veículos, as previsões de chegada em tempo real, os painéis da frota e os diagnósticos remotos serão prejudicados. Por isso, as agências preferem controles em várias camadas que mantenham o fluxo de informações sobre o serviço e impeçam comandos não autorizados.

As cidades enfrentam um dilema entre a conveniência da manutenção remota e a segurança proporcionada por um controle local mais rigoroso. Cortar a conectividade pode reduzir os riscos, mas também prejudica a confiabilidade e aumenta os custos. Uma abordagem equilibrada combina governança sólida, transparência e controles técnicos verificáveis para que os operadores mantenham as vantagens das frotas conectadas sem expor o sistema de propulsão a interferências externas.

Principais pontos

• A Dinamarca está auditando centenas de ônibus elétricos de fabricação chinesa após testes na Noruega identificarem um canal de acesso remoto em veículos da Yutong.
• Os testes isolados da Ruter constataram que a retirada dos cartões SIM bloqueia o acesso remoto, mas também desativa informações em tempo real e diagnósticos.
• A Yutong nega a possibilidade de controlar a direção, a propulsão ou a frenagem e afirma que os dados da União Europeia são armazenados em Frankfurt, com criptografia e controles de acesso.
• A agência dinamarquesa de proteção civil informa não haver casos conhecidos de desativação, mas alerta que subsistemas conectados poderiam ser explorados sem controles robustos.
• A Movia opera 469 ônibus elétricos chineses, incluindo 262 da Yutong, e planeja estabelecer requisitos de cibersegurança mais rigorosos em futuras licitações.
• O principal risco é a interrupção remota da energia ou do gerenciamento da bateria, que poderia imobilizar os ônibus mesmo que os motoristas mantenham o controle da direção e dos freios.
• As medidas de mitigação propostas incluem chaves de corte locais para a conectividade, controle de atualizações, separação de redes, autenticação multifator e auditorias independentes.
• Os operadores buscam proteger a qualidade do serviço e fechar acessos remotos não gerenciados, em vez de desativar a conectividade de toda a frota.