Denmark bergerak menutup celah keamanan pada bus listrik China setelah pengujian di Norwegia

Mengapa pengujian bus di Norwegia memicu kekhawatiran di Denmark

Denmark berpacu mengamankan jaringan bus umum setelah pengujian terkendali di Norwegia menunjukkan bahwa bus listrik buatan China memiliki konektivitas jarak jauh yang dapat digunakan untuk mematikan kendaraan saat beroperasi. Konektivitas tersebut tersedia untuk keperluan yang sah, terutama pembaruan perangkat lunak dan diagnostik. Peninjau keamanan mengatakan kanal yang sama, jika disalahgunakan, dapat mengganggu operasional. Kini, lembaga dan operator di Denmark memeriksa ratusan bus yang digunakan sehari-hari, termasuk 262 unit Yutong yang dioperasikan Movia di dan sekitar Kopenhagen, untuk memastikan tidak ada kendali jarak jauh yang tidak dikelola dengan baik dan dapat mengganggu layanan.

Operator transportasi umum Norwegia, Ruter, menguji dua bus Yutong di lingkungan terisolasi. Para teknisi memastikan bahwa produsen dapat terhubung ke sistem yang mendukung pembaruan, diagnostik, dan pengelolaan energi. Penyelidik menemukan bahwa mencabut kartu SIM memutus kontak dari luar. Namun, langkah itu juga menghentikan layanan penting seperti informasi kedatangan langsung, deteksi gangguan jarak jauh, dan pemeliharaan prediktif. Ruter telah memberi tahu otoritas nasional dan daerah serta menyiapkan persyaratan keamanan yang lebih ketat untuk pengadaan mendatang.

Yutong membantah anggapan bahwa pemasok dapat mengendalikan kemudi, rem, atau akselerasi bus dari jarak jauh. Perusahaan menyatakan bahwa sambungan data digunakan untuk pemeliharaan dan data Eropa disimpan di fasilitas Amazon Web Services di Frankfurt, dengan perlindungan enkripsi dan kontrol akses. Tidak ada kasus bus dimatikan dari jarak jauh yang tercatat di Norwegia maupun Denmark. Meski begitu, operator memandang setiap jalur akses tanpa kendali ke peralatan penting sebagai risiko yang tidak dapat diterima.

Temuan Norwegia dalam pengujian bus

Ruter mengatakan timnya menemukan modul SIM tertanam dan penyimpanan yang memungkinkan koneksi seluler aman antara bus dan server eksternal. Sambungan tersebut mendukung diagnostik jarak jauh dan pembaruan perangkat lunak. Para teknisi menyimpulkan bahwa pengguna jahat, atau akun vendor yang telah dibobol, mungkin dapat memutus pasokan daya atau fungsi lain yang membuat bus tetap bergerak. Pengujian itu tidak menunjukkan bahwa bus dapat dikemudikan atau direm dari jarak jauh. Namun, pengujian tersebut menyoroti kemungkinan menghentikan bus dengan memutus traksi atau daya.

Operator itu juga memeriksa bus dari produsen Eropa dengan usia yang serupa. Kendaraan tersebut tidak menggunakan fungsi pembaruan jarak jauh, sehingga mengurangi permukaan serangan tetapi juga membatasi fleksibilitas dan efisiensi pemeliharaan. Perbedaan tersebut, bersama temuan pada bus Yutong, meyakinkan para pejabat Norwegia bahwa persyaratan pengadaan yang lebih jelas diperlukan untuk semua merek yang mengandalkan layanan terhubung.

Solusi kartu SIM dan konsekuensinya

Mencabut kartu SIM langsung memutus sambungan jarak jauh, tetapi juga menonaktifkan perangkat yang diandalkan banyak lembaga transportasi. Papan informasi kedatangan waktu nyata dan prediksi di aplikasi seluler bergantung pada konektivitas kendaraan. Begitu pula diagnostik jarak jauh dan perencanaan pemeliharaan perangkat lunak. Pemutusan permanen akan memperlambat pemulihan layanan saat terjadi gangguan dan dapat meningkatkan biaya karena teknisi kehilangan telemetri terperinci dan peringatan dini. Operator sedang mempertimbangkan perlindungan terarah yang mempertahankan aliran data penting sekaligus memblokir akses vendor yang tidak secara tegas diizinkan dan diawasi.

Apakah bus benar-benar diambil alih

Para pejabat mengatakan belum ada kasus manipulasi bus secara langsung dari jarak jauh. Yutong menyatakan fungsi yang penting bagi keselamatan, seperti kemudi, penggerak, dan pengereman, tidak menerima perintah dari jaringan eksternal. Pengujian Ruter dan penjelasan para ahli menunjukkan risiko yang lebih terbatas. Bus dapat dibuat tidak beroperasi jika daya atau pengelolaan baterai diubah melalui kanal terhubung. Gangguan semacam itu akan berdampak serius pada operasional, meski pengemudi tetap memegang kendali penuh atas kendaraan saat sedang melaju.

Direktur utama Ruter, Bernt Reitan Jenssen, mengatakan kemungkinan adanya upaya gangguan masih rendah, tetapi ia mendesak agar langkah-langkah diambil untuk mengurangi paparan risiko.

Kita harus menanggapi risiko ini dengan serius.

Respons Denmark

Badan Perlindungan Sipil dan Manajemen Darurat Denmark mengatakan pihaknya tidak mengetahui adanya kasus penonaktifan jarak jauh yang terkonfirmasi di Denmark. Badan tersebut memperingatkan bahwa subsistem dan sensor yang terhubung ke internet dapat dieksploitasi untuk mengganggu layanan jika kontrol keamanannya lemah. Badan itu memantau perkembangan dan menilai apakah panduan yang berlaku sudah memadai, serta siap memberi saran kepada operator mengenai pencegahan dan penanganan.

Movia, perusahaan transportasi umum terbesar di Denmark, mengoperasikan 469 bus listrik buatan China di seluruh Zealand, 262 di antaranya merupakan bus Yutong. Direktur operasional Movia, Jeppe Gaard, mengakui bahwa kendaraan terhubung dapat terpapar gangguan jarak jauh ketika sistem perangkat lunaknya berada di jaringan terbuka. Ia mencatat bahwa kekhawatiran tersebut mencakup berbagai jenis kendaraan dan perangkat terhubung, bukan hanya bus China. Movia berencana memperketat persyaratan keamanan siber dalam tender baru dan sedang mengevaluasi perlindungan bagi armadanya saat ini.

Kalangan politik dan kelompok masyarakat sipil menginginkan standar nasional yang memperlakukan transportasi umum sebagai infrastruktur penting. Mereka berpendapat bahwa ketergantungan besar pada vendor asing melemahkan ketahanan saat krisis. Para legislator sedang menjajaki berbagai opsi, seperti kriteria tender yang seragam, pemeriksaan risiko pemasok, aturan lokasi penyimpanan data, dan pembatasan akses jarak jauh yang tidak dikelola. Setiap perubahan harus mematuhi hukum pengadaan Denmark dan Uni Eropa, sekaligus memberi operator perangkat praktis untuk menjaga layanan tetap berjalan.

Pernyataan Yutong tentang akses dan data

Yutong menyatakan bahwa kendali jarak jauh atas fungsi yang penting bagi keselamatan tidak dimungkinkan pada busnya. Perusahaan mengatakan unit kendali utama terpisah dari sistem kemudi, penggerak, dan pengereman. Sambungan data mendukung diagnostik, pemantauan kinerja, dan fungsi kenyamanan, seperti pengondisian awal suhu kabin. Pembaruan memerlukan persetujuan tegas dari operator. Perusahaan juga mengatakan data di Uni Eropa disimpan di Frankfurt dan dilindungi dengan enkripsi serta kontrol akses yang ketat. Ruter menjelaskan bahwa temuannya menggambarkan risiko teoretis dan belum ada kasus terkait keselamatan.

Penjelasan risiko teknis

Bus modern dilengkapi unit telematika yang terhubung ke jaringan seluler. Unit tersebut berkomunikasi dengan platform cloud untuk mengirimkan data status dan menerima paket perangkat lunak atau perubahan konfigurasi. Di dalam kendaraan, jaringan area pengendali menghubungkan subsistem untuk penggerak, baterai, pintu, pemanas, dan layar pengemudi. Desain yang baik menempatkan rangkaian penting bagi keselamatan pada jalur terpisah dengan isolasi kuat. Dalam praktiknya, terdapat antarmuka ant jaringan agar tim dukungan dapat mendiagnosis gangguan dan menerapkan perbaikan. Antarmuka yang sama menarik bagi penyerang jika pemeriksaan identitas atau aturan aksesnya lemah.

Risiko yang masuk akal bukanlah pembajakan jarak jauh seperti di film Hollywood. Kekhawatiran utamanya adalah perintah jarak jauh yang menonaktifkan penggerak atau daya, atau pembaruan perangkat lunak yang merusak komponen sehingga bus tidak dapat bergerak. Jika ratusan kendaraan menggunakan konfigurasi dan akun pemasok yang sama, satu pembobolan dapat menimbulkan gangguan luas tanpa perlu menyentuh kemudi atau rem. Lembaga menginginkan bukti bahwa kanal jarak jauh dinonaktifkan secara default, akses berbasis peran diterapkan, dan operator dapat langsung memutus koneksi eksternal jika mencurigai penyalahgunaan.

Bagian yang berpotensi terdampak

• Pengaktifan daya traksi dan kondisi penyalaan inverter
• Pengaturan pengelolaan baterai, termasuk batas pengisian dan pengosongan
• Logika dan jadwal pengendalian pengisian daya
• Distribusi daya tegangan rendah yang memasok unit kendali dan sensor
• Sistem kabin seperti pemanas, ventilasi, dan pencahayaan

Tim keamanan berfokus memperkuat jalur-jalur ini sekaligus mempertahankan data yang dibutuhkan untuk operasional yang aman dan efisien. Tujuannya adalah menjaga diagnostik jarak jauh dan pembaruan nonkritis tetap tersedia, dengan kontrol kuat yang mencegah tindakan jarak jauh yang dapat melumpuhkan kendaraan tanpa persetujuan setempat.

Bentuk aturan baru

Perusahaan transportasi, regulator, dan pemasok sedang merancang perlindungan yang sesuai untuk armada terhubung. Langkah-langkah ini bertujuan mempertahankan manfaat telemetri dan dukungan jarak jauh sekaligus menutup jalur tanpa kendali menuju sistem penggerak. Ketentuan kontrak, sertifikasi, dan kontrol teknis perlu diselaraskan agar operator memiliki kewenangan akhir atas apa yang masuk ke jaringan bus dan kapan hal itu dilakukan.

• Kendali konektivitas lokal, dengan kemampuan menonaktifkan akses vendor seketika
• Penyaringan pembaruan, dengan peninjauan dan penandatanganan firmware serta perubahan konfigurasi sebelum dipasang
• Pemisahan ketat antara diagnostik dan jaringan yang penting bagi keselamatan
• Akses berbasis peran dan autentikasi multifaktor untuk semua sesi jarak jauh
• Pencatatan yang tidak dapat diubah dan audit independen atas koneksi jarak jauh
• Aturan yang jelas mengenai lokasi penyimpanan data dan standar enkripsi
• Pemeriksaan risiko pemasok dalam tender, termasuk praktik pengembangan yang aman dan kemampuan merespons insiden
• Uji penetrasi pihak ketiga dan sertifikasi untuk platform kendaraan terhubung

Dampaknya bagi penumpang dan kota

Penumpang tidak perlu mengantisipasi perubahan layanan dalam waktu dekat. Bus dikemudikan manusia dan tidak dapat dioperasikan dari luar kendaraan. Operator mengatakan kamera di bus-bus ini tidak terhubung ke internet, sehingga tidak ada risiko transfer gambar secara langsung. Jika operator mencabut kartu SIM untuk mengisolasi kendaraan, prediksi kedatangan waktu nyata, dasbor armada, dan diagnostik jarak jauh akan menurun fungsinya. Karena itu, lembaga lebih memilih kontrol berlapis yang menjaga aliran informasi layanan sekaligus mencegah perintah tanpa izin.

Kota menghadapi pertukaran kepentingan antara kemudahan pemeliharaan jarak jauh dan kepastian yang diperoleh dari kendali lokal yang lebih ketat. Memutus konektivitas dapat mengurangi risiko, tetapi juga mengganggu keandalan dan meningkatkan biaya. Pendekatan seimbang menggunakan tata kelola yang kuat, transparansi, dan kontrol teknis yang dapat diverifikasi agar operator tetap mendapat manfaat dari armada terhubung tanpa membuka sistem penggerak terhadap gangguan dari luar.

Poin Utama

• Denmark mengaudit ratusan bus listrik buatan China setelah pengujian di Norwegia menemukan kanal akses jarak jauh pada kendaraan Yutong.
• Pengujian Ruter di lingkungan terisolasi menemukan bahwa pencabutan kartu SIM memblokir akses jarak jauh, tetapi juga menonaktifkan informasi langsung dan diagnostik.
• Yutong membantah dapat mengendalikan kemudi, penggerak, atau pengereman, serta menyatakan data Uni Eropa disimpan di Frankfurt dengan enkripsi dan kontrol akses.
• Badan perlindungan sipil Denmark melaporkan tidak mengetahui adanya kasus penonaktifan, tetapi memperingatkan bahwa subsistem terhubung dapat dieksploitasi tanpa kontrol yang kuat.
• Movia mengoperasikan 469 bus listrik buatan China, termasuk 262 unit Yutong, dan berencana memperketat persyaratan keamanan siber dalam tender mendatang.
• Risiko utamanya adalah gangguan jarak jauh pada daya atau pengelolaan baterai, yang dapat melumpuhkan bus meski pengemudi tetap mengendalikan kemudi dan rem.
• Langkah mitigasi yang diusulkan mencakup pemutus konektivitas lokal, penyaringan pembaruan, pemisahan jaringan, akses multifaktor, dan audit independen.
• Operator berupaya melindungi kualitas layanan sambil menutup akses jarak jauh yang tidak dikelola, alih-alih menonaktifkan konektivitas seluruh armada.