اختراق السيارات: ثغرات أقل في البرمجيات وهجمات تنتقل إلى التطبيقات والسحابة

يتراجع عدد الثغرات الأمنية المعروفة في برمجيات السيارات منذ عام 2019، لكن ذلك لا يدعو إلى الاطمئنان، فطبيعة الثغرات نفسها تغيّرت. هذا ما خلص إليه باحثون من جامعتي غوتنبرغ وتشالمرز.

وأحصى الباحثون 413 ثغرة موثقة في الفترة بين 2022 و2024 وحدها. يبدو الرقم كبيرًا، لكن دراسة أقدم وثّقت 363 ثغرة في عام 2019 وحده.

نقاط الدخول تتغير

تقول سريجيتا باسو، الباحثة الرئيسية في الدراسة: «قبل عشر سنوات كانت معظم الثغرات تُكتشف في الأنظمة الداخلية للمركبة. أما اليوم فقد تضاعفت حصة الثغرات الموجودة في التطبيقات والمواقع والخدمات السحابية قرابة ثلاث مرات».

ويمكن استخراج الكثير من المعلومات الشخصية من هذه البيانات، مثل مكان السكن والعمل والهوايات ومدرسة الأطفال. وهذا ما حدث فعلًا عام 2024 مع فولكسفاغن.

من المفترض فصل نظام المعلومات والترفيه تمامًا عن الوظائف الحرجة للسلامة، مثل نظام ABS ونظام ESP وأنظمة مساعدة السائق. لكن الواقع ليس كذلك دائمًا؛ ففي عام 2015 تمكن باحثون من التحكم عن بُعد بالفرامل ودواسة الوقود وأقفال الأبواب في سيارة جيب شيروكي عبر نظام الترفيه. وتذكر الورقة البحثية أن أنظمة الترفيه والقياس عن بُعد كثيرًا ما تكون جسرًا إلى شبكات أكثر حساسية داخل السيارة، وأن الثغرات تعود في الغالب إلى برمجيات الجهات الخارجية.

وتقول باسو إن بعض الثغرات بدائية بشكل مفاجئ، مثل كلمات مرور لم تُغيَّر منذ التثبيت. وكانت أداة Grafana مفتوحة المصدر أكثر المنتجات عرضة للاختراق، فيما كانت أشيع أساليب الهجوم حقن SQL والبرمجة النصية عبر المواقع.

سطح هجوم أوسع

كلما ازداد اتصال السيارات بمحيطها، مثل بث الأفلام أو التواصل مع محطة الشحن، اتسع سطح الهجوم أمام المخترقين. وكلما زاد اعتماد الناس على أنظمة مساعدة السائق، ازدادت خطورة نتائج أي اختراق. ولن يكفي تحسين التشفير وحده، فالمشكلة الأعمق هي غياب التحقق من الصلاحيات؛ إذ يثبت تسجيل الدخول هوية المستخدم فقط، دون التأكد من أنه مخوّل بالوصول إلى هذه السيارة وتنفيذ الوظيفة المطلوبة.

وتنصح باسو الشركات المصنعة بالتعلم من عالمي الويب وتقنية المعلومات، حيث عُرفت كثير من هذه الثغرات منذ سنوات. أما السائقون فيُنصحون باستخدام كلمات مرور قوية وتثبيت تحديثات البرمجيات بانتظام.