Warszawa narażona na paraliż
Zdaniem eksperta, należy wziąć pod uwagę, czy zdalna kontrola nad flotą stanowi jedynie funkcję serwisową, czy też potencjalne narzędzie sabotażu. - Jednym z najpoważniejszych zagrożeń jest możliwość zdalnego zatrzymania pojazdu. Choć funkcjonalność ta bywa wdrażana w celach diagnostycznych, praktyka pokazuje, że może zostać nadużyta. W Chinach funkcja zdalnego wyłączenia pojazdu była testowana przez producentów autobusów, w tym Yutong, jako element systemu „smart fleet management” – mówi Matuszczyk.
Jak wskazuje, możliwość przejęcia kontroli nad flotą miejską przez podmiot zewnętrzny może mieć katastrofalne skutki. Przypadki takie nie są hipotetyczne. W Niemczech w 2022 r. celowy sabotaż światłowodów systemu GSM-R doprowadził do paraliżu ruchu kolejowego w północnej części kraju. W Polsce, w 2023 roku, nieautoryzowane nadania sygnału „radiostop” zatrzymały pociągi pasażerskie i towarowe. W Chinach natomiast w latach 2020–2022 testowano możliwość zdalnego blokowania autobusów przez producenta z poziomu chmury co, choć deklarowane jako funkcja serwisowa, budzi poważne wątpliwości w kontekście niezależności operacyjnej.
Zagrożone systemy miejskie
Michał Matuszczyk tłumaczy, że „autobus to dziś nie tylko środek transportu, ale element infrastruktury Internetu Rzeczy (IoT)”, co czyni go podatnym na szereg cyberataków. Wśród zagrożeń ekspert wymienia „ataki na magistralę CAN (wewnętrzną sieć komunikacyjną sterującą komponentami pojazdu), przejęcie komunikacji telemetrycznej (LTE, Wi-Fi), nieautoryzowane aktualizacje oprogramowania (OTA) oraz manipulację danymi lub paraliż systemów pokładowych”.
Cele ataków mogą wykraczać poza sam pojazd, oddziałując na inne systemy miejskie, takie jak sygnalizacja świetlna, systemy informacji pasażerskiej czy aplikacje do rezerwacji przejazdów. Michał Matuszczyk podkreśla, że „w warunkach zagrożenia hybrydowego, transport publiczny może stać się pierwszym celem działań destabilizacyjnych”. Ekspert przywołuje przykład cyberataków wymierzonych w infrastrukturę kolejową na Ukrainie w 2022 roku, których celem była destabilizacja logistyki wojskowej i cywilnej, co „pokazuje, że infrastruktura transportowa staje się coraz częściej elementem działań cybernetycznych w czasie pokoju i wojny”.
Prywatność pasażerów: Kto widzi nasze twarze i trasy?
Także prywatność pasażerów jest zagrożona, choć, jak zdaniem eksperta, „w ograniczonym zakresie”. Wciąż jednak systemy CCTV oraz aplikacje płatnicze mogą rejestrować dane osobowe, np. wizerunek twarzy, godziny przejazdu, lokalizację.
Największy problem pojawia się w przypadku braku przejrzystości. „O ile nie ma przejrzystości w zakresie przetwarzania tych informacji, zwłaszcza gdy producent systemu ma siedzibę poza Unią Europejską, ryzyko naruszenia RODO jest realne” – ostrzega ekspert. Dodatkowo, „zagrożenie pojawia się, gdy dane wideo są przechowywane lub transmitowane bez wiedzy operatora, co może prowadzić do nieautoryzowanego profilowania obywateli lub śledzenia ich aktywności bez zgody”.
Zaniedbania proceduralne. Gdzie popełniono błędy?
Zaniedbania po stronie miasta mogły się pojawić już na etapie składania zamówień. „Brak zapisów przetargowych dotyczących bezpieczeństwa IT, braku zdalnej ingerencji producenta czy wymagań audytu kodu źródłowego, to potencjalne błędy proceduralne” – ocenia ekspert.
Matuszczyk podkreśla również kluczową kwestię, jaką jest status transportu publicznego. Zgodnie z ustawą o Krajowym Systemie Cyberbezpieczeństwa, infrastruktura transportowa może być uznana za element infrastruktury krytycznej, a więc podlegający szczególnej ochronie. Ekspert jasno stwierdza, że „sam zakup pojazdu elektrycznego nie może odbywać się w oderwaniu od kwestii cyberbezpieczeństwa”. Wskazuje, że „procedury zakupowe powinny przewidywać ocenę ryzyka łańcucha dostaw oraz obowiązek lokalizacji danych i kontrolę nad firmware’em”.
Odzyskiwanie kontroli: Możliwe rozwiązania i ich cena
Czy jest wyjście z tej trudnej sytuacji, aby odzyskać pełną kontrolę? Michał Matuszczyk odpowiada twierdząco: „Tak, istnieją rozwiązania umożliwiające odzyskanie pełnej kontroli nad oprogramowaniem oraz transmisją danych w pojazdach. Jednak ich wdrożenie wymaga zdecydowanych działań organizacyjnych, prawnych i technicznych”.
Wśród konkretnych propozycji ekspert wymienia konieczność „pełnego odcięcia systemów telematycznych od chmury producenta i zastąpienia ich lokalnym rozwiązaniem do zarządzania flotą”. Matuszczyk sugeruje również „wdrożenie własnego oprogramowania zarządzającego z interfejsem dostosowanym do polskich warunków prawnych.
Koszt wdrożenia takich zabezpieczeń, jak szacuje ekspert, może być znaczny. „Dla jednej jednostki koszt może wynosić od 30 do 80 tys. zł, w zależności od poziomu ingerencji, konieczności wymiany komponentów oraz dostępności dokumentacji technicznej”. W przypadku całej floty, mowa jest o milionach złotych. Jednakże, ekspert twierdzi, że warto zainwestować. „Biorąc pod uwagę, że mowa o pojazdach funkcjonujących w ramach infrastruktury krytycznej miasta, inwestycja ta jest porównywalna do kosztów modernizacji systemów IT w sektorze energetycznym czy kolejowym, i stanowi realny wkład w bezpieczeństwo cyfrowe stolicy”.
Co dalej? Strategia bezpieczeństwa dla Warszawy
Michał Matuszczyk przedstawia klarowne rekomendacje dla władz miasta, dzieląc je na działania pilne i strategiczne.
Krótkoterminowo, należy „przeprowadzić niezależny audyt systemów IT w autobusach Yutong” oraz „wdrożyć systemy bezpieczeństwa. Ekspert wskazuje na pilną potrzebę „zablokowania wszelkich kanałów zdalnego dostępu producenta”, a także „analizę tras transmisji danych i weryfikację zgodności z RODO”. Ważne jest także „segmentowanie sieci autobusowej od systemów centralnych miasta”.
Długoterminowo, specjalista proponuje stworzenie „miejskiej strategii Cyberbezpieczne Smart City’” i „utworzenie jednostki nadzorującej bezpieczeństwo IT floty. Konieczne jest „wprowadzenie wymogu pełnej jawności systemów informatycznych w zamówieniach publicznych”. Ekspert postuluje również „budowę własnego systemu zarządzania flotą opartego o polskie lub europejskie komponenty”, „rozwój kompetencji inspekcyjnych w zakresie cyberaudytów pojazdów i ich infrastruktury”, a także „tworzenie dokumentacji przetargowych w oparciu o zasadę cybersecurity by design’” i „promowanie producentów z pełną jawnością kodu i infrastrukturą serwerową w UE”.
Słowa Michała Matuszczyka są dzwonkiem alarmowym dla decydentów i powinny zaniepokoić każdego mieszkańca Warszawy. Czy stolica Polski sprosta wyzwaniu jakim jest bezpieczeństwo informacyjne miasta, aby zapewnić właściwą ochronę mieszkańcom i infrastrukturze?
