Der Ruter hat potenzielle Cybersecurity-Risiken in den Bussen der chinesischen Marke Yutong gefunden, die über ein „Gateway“ remote auf die Steuerungssysteme des Fahrzeugs zugänglich sind, neben Remote-Over-the-Air-Updates. Der norwegische öffentliche Verkehrsbetrieb führte Tests in einer kontrollierten Umgebung mit zwei Bussen durch, einem neuen von Yutong und einem drei Jahre alten von VDL, zu Vergleichszwecken, nachdem potenzielle Probleme mit unbefugtem Zugriff auf die Betriebssysteme des Fahrzeugs identifiziert wurden, die es ermöglichen, diese remote zu deaktivieren oder mit anderen Betriebsproblemen konfrontiert zu werden.
In einer Erklärung weist Ruter darauf hin, dass die Sicherheit der Bilder nicht gefährdet ist, aber „der chinesische Anbieter hat digitalen Zugang zu den Steuerungssystemen für ‚Software‘-Updates und Diagnosen. Theoretisch könnte dies ausgenutzt werden, um den Bus zu beeinflussen. Es gibt Zugriff auf das Batterie- und Stromversorgungssteuerungssystem über das Mobilfunknetz, über eine rumänische SIM-Karte. Daher könnte dieser Bus theoretisch vom Hersteller gestoppt oder unbrauchbar gemacht werden. Es gibt einen geringen Integrationsgrad zwischen den Bussystemen, und es gibt nur einen Ausgang und Zugriff auf die kritische Funktionalität des Busses. Dies erleichtert es, ihn vom Kontakt mit der Außenwelt zu isolieren. Wir können auch die Signale an den Bus verzögern, sodass wir Informationen über die gesendeten Updates erhalten können, bevor sie den Bus erreichen. Diese Mechanismen werden nun implementiert“, versichert das Unternehmen, das bereits Lösungen entwickelt, um potenzielle Risikosituationen in Zusammenarbeit mit den Sicherheitsbehörden zu verhindern. Es bestätigt auch, dass es beabsichtigt, elaboriertere Sicherheitsanforderungen für die zu verwendenden Fahrzeuge umzusetzen, mit dem Ziel, bevor die nächste Generation von Bussen eintrifft, zu handeln, damit „es integrierter und schwieriger zu schützen wird.“
Dieser Fall hat die Aufmerksamkeit der Behörden in Dänemark auf sich gezogen, wo 262 Yutong-Fahrzeuge im Einsatz sind, die das Transportunternehmen Movia bedienen, das laut der britischen Zeitung The Guardian nun Möglichkeiten untersucht, um solche Cyberrisiken in seinen Fahrzeugen zu vermeiden. In von der britischen Zeitung zitierten Aussagen erklärt der Betriebsleiter von Movia, Jeppe Gaard, dass das Risiko, dass Busse während der Verbindung zum Netzwerk aus der Ferne deaktiviert werden, „nicht exklusiv für chinesische Busse ist. Es ist ein Problem für alle Arten von Fahrzeugen und Objekten mit chinesischen elektronischen Komponenten“. Es wurden keine Probleme mit Fehlfunktionen von Bussen aufgrund von Cyberangriffen gemeldet, jedoch hat die Zivilschutz- und Katastrophenschutzbehörde Samsik darauf hingewiesen, dass es Subsysteme gibt, die Schwachstellen für den korrekten und gewünschten Betrieb der Fahrzeuge darstellen.
Yutong seinerseits versichert, dass seine Busse alle in Europa geltenden Anforderungen an die Cybersicherheit gewissenhaft einhalten und dass die gesammelten Daten auf dem Kontinent, speziell im Amazon Web Services (AWS) Rechenzentrum in Frankfurt, Deutschland, gespeichert werden. Laut The Guardian erklärte ein Sprecher von Yutong, dass die von den Bussen gesammelten Daten „ausschließlich zum Zweck der Fahrzeugwartung, -optimierung und Verbesserungen zur Erfüllung der Bedürfnisse des Kundenservice nach dem Verkauf“ verwendet werden.
