שולטים בכם מרחוק: ביום שההאקר יקח לכם את ההגה מהידיים

בשלב ראשון מגביר ההאקר ומנמיך את עוצמת מיזוג האוויר ברכב, מה שנתפס עדיין בעיני הנהג כתקלה במכונית שלו. אבל לפני שזה מספיק אפילו להתעצבן על יצרנית המכונית שלו, ועל איכות המאוורר, מתחילים לפתע מתזי המגבים להשפריץ על השמשה הקדמית, ופועלים לסירוגין.

בשלב זה מוחלפת תחנה ברדיו, ומתבייתת על ערוץ לווייני שבו משודרות הודעות שטנה מבית מדרשו של דאע"ש, ועל מסך המגע הגדול במרכז לוח המחוונים מופיע הדגל השחור של הארגון.
 

כעת מתחילה המכונית להאיץ בעצמה, וההגה מתחיל לפנות לכיוונים שונים. הנהג המופתע, והלחוץ כמובן, מנסה להחזיק בהגה בעוצמה ולכוון אותו עם כיוון הכביש, אבל המכונית מוסיפה להאיץ והבלמים לא מגיבים. רגע לאחר מכן המכונית בולמת בלימת חירום אדירה, כשהבלמים מופעלים בעוצמה מרבית, והמכונית שנוסעת מאחור מצליחה לעבור למסלול אחר ממש בשנייה האחרונה כדי להימנע מתאונה.
 

אבל זה לא נגמר: המכונית מאיצה שוב, הפעם בעוצמה מרבית, ובעקומה הימנית הבאה ההגה מופנה שמאלה והנהג לא מצליח להשתלט עליו כדי להפנות אותו לכיוון הנכון.
 

כתוצאה מכך חוצה המכונית את כר הדשא הרחב שמרצף את שטח ההפרדה הרחב שבין שני נתיבי הנסיעה, ומוסיפה להאיץ תוך שהיא מתעופפת לתוך הנתיב הנגדי אל התנועה שבאה ממול, ואז היא פוגעת באוטובוס צהוב שמסיע תלמידים בדרכם הביתה מבית הספר.
 

ארגון דאע"ש רושם לעצמו הצלחה בפיגוע רב־נפגעים בלבה של אמריקה, בלי שפעיליו נאלצו להתקרב אפילו מטר אחד אל הבתולות שממתינות להם בגן העדן.
 

אם למישהו נדמה שמדובר ברעיון מופרך של עוד מישהו שמנסה לזרוע פחד ואימה, כדאי לדעת שבסוף השבוע האחרון פרסמה חברת פיאט־קרייזלר קריאה לתיקון ב־1.4 מיליון מכוניות מתוצרת ג'יפ, קרייזלר וראם בגלל פרצת אבטחה שמאפשרת להאקרים לבצע לכל הפחות חלק מן הפעולות שתוארו כאן.

ביניים: התריעו על כך מראש
 

שליטה מרחוק ברכב באמצעים אלקטורניים. צילום: יוטיוב

נקודת התורפה הזאת – פרצת האבטחה – נחשפה כבר לפני כתשעה חודשים על ידי מומחי המחשב כריס ואלסק וצ'רלי מילר, שהודיעו עליה די מזמן לפיאט־קרייזלר. ואלסק הוא מנהל מחקר אבטחת רכב בחברתIOACTIVE , ואילו מילר הוא מהנדס אבטחה בחברת טוויטר. בזמנם החופשי שניהם האקרים, וכבר פרצו בעבר והשתלטו על מכוניות מדגמי טויוטה פריוס ופורד אסקייפ.
 

באמצע השבוע שעבר פרסם מגזין המחשבים "וירד" (Wired) כתבה מאת אנדי גרינברג אשר התלווה אל ואלסק ומילר ונהג בג'יפ צ'רוקי שאותו הם פיצחו.

ההבדל הגדול בין הפריצה לג'יפ לבין פריצות קודמות הוא שהפעם היא בוצעה מרחוק, בעת שהשניים ישבו ספונים בביתם בעוד גרינברג נהג בג'יפ הלבן שלהם על כביש מהיר בסנט לואיס.
 

ממש כמו בתיאור הקודם, הם הפעילו מרחוק את מיזוג האוויר, העלו איור משעשע של עצמם על מסך המגע במכונית, הפעילו בעוצמה את מערכת השמע, הפעילו את המגבים והמתזים, ולאחר מכן כיבו את המנוע בעת שהמכונית נסעה על קטע כביש מהיר ללא שוליים.
 

ואלסק ומילר גם הדגימו איך הם מבטלים את הבלמים, והסבירו שהם יכולים  להשתלט על נעילת הדלתות, מערכת האיתות, וכל מערכת שמקבלת הוראות ממחשבי המכונית באמצעות תקשורת ה־CAN – שהיא למעשה "מערכת העצבים המרכזית" של המכונית.
 

ואלסק ומילר הם "האקרים טובים". הם עשו זאת כדי להתריע מפני הפרצה וכדי לגרום ליצרנית המכוניות לסגור אותה. ולא צריך להזכיר שבעולם ישנם גם לא מעט האקרים רעים שרק מחפשים הזדמנויות לעשות נזקים.
 

למרות זאת, פיאט־קרייזלר גררה רגליים במשך מספר חודשים (או שלקח לה הרבה זמן למצוא פתרון) ורק ב־16 ביולי פרסמה קריאה לתיקון והחלה לבצע אותה. רק לאחר ההכרזה על הקריאה לתיקון פרסמו שני ההאקרים את ההישג שלהם ב"וירד", ובעקבות הרעש התקשורתי שהוא גרם, אנשי פיאט-קרייזלר "החליפו הילוך" והחלו לפעול בנחרצות וביעילות. כאמור, הם פרסמו הודעה לתקשורת והחלו להפעיל אתר אינטרנט שבאמצעותו יכולים כל בעלי המכוניות לבדוק אם כלי הרכב שלהם כלולים בתיקון, על ידי הקלדת מספר השלדה (VIN).
 

אגב, מעניין לציין שמכיוון שמדובר בפרצת אבטחה ובבעיית תוכנה, גם התיקון שלה לא כל כך קונבנציונלי. תיקון התקלה לא מתבצע ברשת השירות של החברה ולא דורש מלקוחות להגיע למוסך, אלא מבוצע באמצעות טלאי תוכנה שיישלח אליהם בדואר, על התקן USB. לקוחות יוכלו להכניס את ההתקן לשקע ה־USB ברכב ולבצע בעצמם את עדכון התוכנה. לחלופין, לקוחות יכולים גם להוריד בעצמם את טלאי האבטחה אל התקן USB משלהם מתוך אתר אינטרנט ייעודי שהקימה פיאט־קרייזלר לצורך זה.
 

חשוב להדגיש שגם בישראל נמכרו מכוניות המצוידות במערכת המולטימדיה UCONNECT – בעיקר בחלק מדגמי ג'יפ, קרייזלר, ראם, פיאט ואלפא רומיאו, אך לא כל המערכות הללו ניתנות לשליטה מרחוק.
 

פרצת אבטחה קיימת ככל הנראה רק בסדרות המערכת RA4 ו־RA3 שנמכרות בארצות הברית עם רדיו בתדרים אמריקאיים. עם זאת, לא מן הנמנע שמכוניות כאלה יובאו ארצה ביבוא אישי, ושתיתכן בעיה דומה גם במערכות נוספות, לאו דווקא אמריקאיות.
 

חברת סמל"ת, יבואנית פיאט ואלפא רומיאו מסרה לנו: "מערכת UCONNECT לא מחוברת בשום דגם קיים בישראל לפונקציות בטיחותיות ברכב. הדגם היחיד שבו מצב כזה אפשרי הוא X500, אולם לגביו לא התקבלה עד כה כל קריאה לתיקון או התייחסות כלשהי מצד היצרן".
 

חברת מכשירי תנועה, יבואנית ג'יפ, קרייזלר וראם לישראל, מסרה: "נמסר לנו מחברת קרייזלר שהסיכון של 'פריצה' למחשב הרכב והקריאה לתיקון שנדרשת לצורך מניעת סיכון זה אינם רלוונטיים לכלי רכב שנמכרים באירופה (ובישראל), מפני שמערכת הרדיו שלהם שונה מזו המותקנת בכלי רכב שמיועדים לשוק האמריקאי".
 

בהודעת פיאט־קרייזלר, מכל מקום, נמסר שהתקלה קיימת בכלי רכב שבהם מותקנים מסכי מגע בגודל 8.4 אינץ', ובדגמים הבאים:

• מכוניות נוסעים מסוג קרייזלר 200 וקרייזלר 300 משנת ייצור 2015 

• ג'יפ צ'רוקי וג'יפ גראנד צ'רוקי משנות הייצור 2014־2015 

• טנדרים מדגמי RAM (1500 ,2500 ,3500) משנות הייצור 2013־2015

• כלי רכב מיוחדים מדגמי דודג' וייפר משנות הייצור 2013־2015

• קרוס־אוברים מדגם דודג' דוראנגו משנות הייצור 2014־2015 

ובכל מקרה, כאמור, כל לקוח של החברה יכול להיכנס לאתר האינטרנט הייעודי שלה, בכתובת www.driveuconnect.com/software-update. יש להקליד את מספר השלדה של המכונית ולוודא אם עליו לעדכן את התוכנה או לא.

עם או בלי קשר לסערה הנוכחית, החל בית המחוקקים האמריקאי לפעול כדי לצמצם את הסיכון שעלול להיגרם בעתיד על ידי פריצה של האקרים לתוך מחשבי המכוניות, וזאת ביוזמתם של הסנאטורים אד מארקי וריצ'רד בלומנטל.

מארקי ובלומנטל החלו להניע תהליך חקיקה שיחייב את הממשל, את מנהל הבטיחות בדרכים האמריקאי ואת נציבות הסחר הפדרלית לקבוע סטנדרטים להגנה על המכוניות מפני פריצה, ויחייב את יצרניות המכוניות לעמוד בסטנדרטים אלה. במקביל, חקיקה זאת נועדה גם להגביל את איסוף המידע האישי שמבצעות יצרניות הרכב על המשתמשים.

המנהל נדרש להגדיר מערכת דירוג דומה לזו המקובלת בתחומי תצרוכת הדלק והבטיחות, ויצרניות הרכב תידרשנה להציג את הדירוג של כל מכונית באמצעות מדבקה על מכוניות חדשות, כדי לאפשר לצרכן לדעת כמה הן בטוחות ו"דיסקרטיות".

יצרניות הרכב תידרשנה גם להעמיד את המכוניות למבחנים חיצוניים ובלתי תלויים של מומחי אבטחת מידע, ולהטמיע בהן אבטחה פיזית שתזהה ותגיב לפקודות זדוניות ברשת התקשורת של המכונית. 
 

החוק יחייב לשמור את המידע שנאסף על הנהגים והנוסעים תוך כדי נסיעה – מיקומים, מהירויות, מרחקי נסיעה וכו' – ליידע אותם כיצד נאספים הנתונים, ולאפשר להם לבחור אם וכיצד ישמש המידע לצורך שיווק.
 

ככל הידוע, עד היום טרם בוצעה בעולם פריצה מזיקה לכלי רכב מחובר, לפחות לא כזאת שדווחה תקשורתית, וצריך לשאוב עידוד מן הפרסום ב"וירד" ומן התגובה של פיאט־קרייזלר.

אלא שהתסריט שתואר בהתחלה עלול יום אחד להישמע כמו משחק ילדים, ובמיוחד בעידן המכונית האוטונומית, כאשר מיליוני מכוניות יישלטו מרחוק באמצעות תקשורת מחשבים.