המלחמה בתקיפות הסייבר על רכבים עולה מדרגה
תקינה חדשה של האו”ם להגנה מתקיפות סייבר על רכב תיכנס לתוקף באירופה ב־2022, ובחברות הישראליות שעוסקות בתחום כבר מחככים ידיים. תסריט של השתלטות האקרים על רכבים בארץ עדיין לא סביר, אבל זה עשוי להשתנות כשגם בישראל כל מכונית חדשה תגיע עם מודם סלולרי
לפני כשלושה שבועות התרחש בישראל אירוע חריג שלא קרה מעולם: משרד התחבורה פרסם הודעת ריקול ראשונה לגבי כמה רכבים של FCA, החברה־האם של פיאט וקרייזלר, שבה נכלל סעיף מפתיע ותקדימי: בדגמים מסוימים של חברת ג'יפ, למשל הצ'רוקי, קיימת סכנת פריצה על ידי האקרים.
קראו עוד בכלכליסט
זה כנראה לא מקרה שהרכבים הללו שנוסעים בכבישים בישראל ולגביהם פורסמה ההודעה, לא נמכרו בארץ על ידי סוכנות מכוניות לים התיכון, יבואנית פיאט, אלא הגיעו ארצה ביבוא אישי, כלומר על ידי ישראלים שקנו בעצמם את הרכב בארה"ב. הסיבה היא מערכת הסטריאו המשוכללת שאיתה הרכב נמכר בארה”ב ושדרכה האקרים עלולים לפרוץ לרכב ולגרום לו, למשל, לבלום בפתאומיות.
עד כמה תופעת ההאקינג נפוצה בעולם הרכב? תיאורטית מדובר בתופעה נפוצה, מעשית - פחות. מדובר באיום עתידי, כזה שככל הנראה נמצא מתחת לאף שלנו אבל לא בא לידי ביטוי. לפי נתונים רשמיים של רשויות בעולם העוסקות בהגנת סייבר התגלו בשנה שעברה 19,200 פרצות אבטחה שונות ברכבים. פרצה פירושה מצב בו האקרים יכולים להשתלט על מערכות ברכב ולגרום לו לשנות תחנות ברדיו במקרה הטוב, או במקרה הרע להסיט את ההגה שלו בנסיעה ולגרום לתאונה.
עם זאת, יש להדגיש שבישראל ובעולם לא תועדו עד כה מקרים של האקינג ברכבים, פרט לחברות שמבצעות ניסויים שבמסגרתם מבוצעת פריצה מכוונת כחלק מבניית מערך אבטחה לרכב.
הריקול עשוי להתעכב
אך נכון להיום קיימת בישראל בעיה אחרת: כשיתבצע ניסיון האקינג לרכב בעולם ויצרן הרכב יגיב אליו, ייצא ריקול לדגם המסוים. הבעיה היא שעד שהריקול הזה יגיע ישראל עשויה לעבור אפילו שנה. בעיה נוספת היא סוג האיומים שקיים בישראל. "הנושא של האקינג של רכב בישראל עלול להיות הרבה יותר בעייתי מאשר למשל בארצות הברית או באירופה", אומר גורם בתחום. “שם זה צפוי להיות מבוצע למטרה זדונית של גרימת נזקים לבעל הרכב, סתם בגלל שאפשר, או כדי לדרוש כופר. כלומר להודיע לחברת השכרה שעשרת אלפים מכוניות שלה יושבתו פתאום באמצע הכביש אם היא לא תשלם. בישראל מדובר במצב שונה - אנחנו נמצאים במדינה שבה האקרים ממדינות אויב מנסים להפיל לנו את מערכת המים, להשבית לנו נמלים ולהשתלט על מתקנים ביטחוניים.
“למען האמת, מפתיע שעד כה לא ניסו לגרום לתאונות במכוניות של צה"ל, או לפגוע בסתם 20 מכוניות מדגם מסוים שנוסעות בנתיבי איילון ביום ראשון בבוקר כדי להשבית את גוש דן. לא ברור אם זו תוצאה של היעדר טכנולוגיה שמאפשרת לבצע זאת או פשוט של מזל".
לעתים, כך מתברר, דווקא נטיית יבואני הרכב הישראלים לא לפנק את הלקוחות מתבררת כתורמת לביטחון. לדברי עופר בן־נון. מנכ"ל ומייסד ארגוס אבטחת סייבר: "ספציפית בישראל רמת הסיכון נמוכה משאר העולם כי מעט רכבים מגיעים קישוריות מקורית, כלומר מודם סלולרי וכו’. ברוב העולם אין כיום רכבים רבים שנמכרים ללא קישוריות. אבל בעתיד הלא רחוק זה ישתנה ואז וכל המשחק בישראל ישתנה".
כאמור, כיום מי שאחראי ליידע את הלקוחות שקיימת בעיה הוא יצרן הרכב, שבעצמו צריך להמתין לניסיון פריצה או לכך שחברת סייבר זו או אחרת תיידע אותו על בעיה קיימת. ואולם, פתרון שמיועד ליייצר סדר בנושא, בין היתר באמצעות טכנולוגויות של חברות ישראליות, מסתמן באופק. כך, בשבוע שעבר הודיע האו"ם בפעם הראשונה על תקינה מחייבת לאופן בו יתמודדו יצרניות רכב עם איומי סייבר. התקינה של האו"ם מיועדת להיכנס לתוקף בתחילת שנת 2022 ולהתמקד ברכבים מדגמים אירופיים. כלומר גם כל הרכבים שיגיעו לישראל שעומדים בתקינה של היבשת, יגיעו כשהם מצוידים בכל האמצעים להתמודד עם איומי סייבר. אך יתרה מזאת, התקינה החדשה אינה נוגעת רק להגנה המונעת מאיומי הסייבר, אלא גם לאופן בו ניסיון לפריצת סייבר יטופל על ידי יבואני הרכב בישראל ועל ידי נציגי יצרני הרכב באירופה.
הכללים החדשים פשוטים וכללים הגדרה של מהו איום סייבר לרכב, איתור מהיר של האיום בציי רכב גדולים, כלומר היכולת למצוא את המכונית הבודדת בה החל האיום, בדיוק כפי שמטפלים בווירוס, אספקה מהירה של "תרופה" לאיום הסייבר, כלומר התוכנה שמיועדת להתמודד עם האיום, וגם הגדרה של כל הנהלים הנדרשים לפעולות over the air — ביצוע עדכוני תוכנה ברכב באופן מקוון, בלי שהוא יצטרך להגיע אל מוסך. כל אלה יהיו תקפים למכוניות שיגיעו ארצה החל מעוד פחות משנה וחצי.
התקינה החדשה היתה אמורה להיכנס כבר השנה, אך בגלל הקורונה נאלץ האיחוד האירופי לדחות את מועד יישומה. התקן שיהיה תקף גם בקוריאה וכולל מאות הגדרות טכניות לטיפול באיומי סייבר על כלי רכב - הגדרת התוכנה הנכונה לטיפול באיום, אישור התוכנה ברכב שעלול להיפגע, הערכה של חומרת הנזק שיצר הווירוס וגם עיסוק בשאלה הקריטית- האם יש ליידע את בעל הרכב שמכוניתו נפרצה, או האם לבצע "עדכון שקט" בלי להלחיץ אותו.
עדכון תוכנה מקוון
לדברי בן־נון, "סביר להניח שאנשים בישראל לא יידרשו להגיע אל המוסך כדי לבצע עדכון והעדכונים לא יקחו הרבה זמן. עם זאת, עדכונים כן יצטרכו להתבצע over the air, כלומר באמצעות קישוריות. זה אומר שבתוך הרכב יידרשו יכולות זיהוי התקפות בשכבות שונות, כשהשכבה הראשונה מדברת על המכשירים המקושרים - למשל המודם הסלולרי ומערכת המולטימדיה שתזהה האם יש חריגה בפעילות. בשכבה השנייה המידע יעלה מהרכב לשרתי התקשורת של יצרנית הרכב וינותח על ידי היצרנית. לאחר מכן, בשכבה השלישית, אמור לרדת מהשרתים אל הרכב עדכון תוכנה שיסכל את ההתקפה".
באופן טבעי, מספר גדול של חברות ישראליות העוסקות בפתרונות אבטחת סייבר לרכב ממתינות למועד כניסתו של התקן החדש. לדברי ד"ר תמיר בכור, שותף־מייסד בחברת סיימוטיב CyMotive הנמצאת בבעלות חלקית של פולקסווגן, "חשוב להבין שזה תקן מחייב. אם פולקסווגן שהיא שותפתנו בסיימוטיב תידרש לבצע עדכון תוכנה ללחימה בסייבר, העדכון הזה חייב להתבצע גם בישראל. חברות הסייבר האוטומוטיביות בהחלט ייהנו מהמצב . התזמון טוב ואנו רואים כבר כעת תכונה רבה בנושא בחברת פולקסווגן. בשנים האחרונות הנושא הזה הפך להיות מורכב הרבה יותר מרק רגולציה. מדובר כאן בפיתוח פתרונות שכוללים מוצר שמותקן ברכב וגם מוצר שמותקן אצל יצרן הרכב".
“מה שמשתנה זו הדחיפות”
לדברי דביר רזניק, דירקטור שיווק מוצר בחברה האמריקאית לציוד רכב הארמן (Harman) הפעילה בישראל, “העבודה בנושא ההגנה על רכב לא משתנה מבחינתנו. מה שמשתנה זו רמת הדחיפות שבה אנחנו פועלים. הארמן עובדת עם מספר גדול של יצרני רכב, החל בג'נרל מוטורס וכלה בניסאן, וכעת הם יידרשו להפנות יותר משאבים לתחום, גם לתוכנה הראשונית וגם לעדכונים ולתפעולם. לא רחוק היום בו מכונית תיסע בישראל ותעודכן מגרמניה באמצעות סלולר ותוך שעה תהיה חסינה מפני ניסיון הפריצה החדש שהמציא האקר באירופה. אני יודע שרוב יבואני הרכב בישראל כבר מתכננים להביא רכבים עם קישוריות מוטמעת. זו הנקודה שבה המשחק יהפוך למאוד מעניין".