Chuyên gia bảo mật mua xe điện TQ với giá 69,000 USD để tìm ra manh mối về gián điệp kinh tế

[trungthuc]

Dự án "Lion Cage" của Tor Indstøy tìm cách xác định số lượng thông tin dữ liệu mà chiếc xe điện TQ tìm cách thu thập để gửi về quốc gia châu Á này.

Tor Indstøy, chuyên gia nghiên cứu về an ninh mạng người Na Uy, đã biến chiếc SUV điện TQ của gia đình mình trở thành món đồ thí nghiệm có dính líu đến vấn đề thu thập thông tin lén lút của xe này.

Khi cần một chiếc xe lớn hơn cho gia đình vào năm 2022, Tor Indstøy đã bỏ tiền sắm chiếc xe điện TQ có trị giá là 69,000 USD.

Xe Nio ES8

Với ý đồ thầm kín khi mua xe ES8, chiếc SUV điện hạng sang của công ty Nio (có trụ sở tại thành phố Thượng Hải, TQ),
ông này muốn nghiên cứu thêm về xe ES8 và tìm hiểu xem nó đã thu thập bao nhiêu thông tin của người sử dụng để gửi về đại lục.

Cùng với một số người bạn trong ngành, Tor Indstøy đã tạo ra dự án Lion Cage với mục đích phân tích ES8 từ trên xuống dưới và cho công bố các kết quả.

Dự án này được khởi động vào tháng 7/2023. Kể từ đó, Tor Indstøy và nhóm của ông đã xuất bản gần 12 bản thông tin cập nhật về tiến độ nghiên cứu của họ. Những thông tin đó chủ yếu bao gồm việc họ cố gắng tìm hiểu xem, chiếc ES8 khá phức tạp và các hoạt động về các bộ phận khác nhau trên xe điện này.

Hồi tháng trước, Tor Indstøy đã mở rộng dự án này cho bất cứ thành viên nào khác trong cộng đồng bảo mật muốn trợ giúp. Đây là dự án cá nhân của Tor Indstøy và không có liên quan đến công việc của ông với tư cách Phó chủ tịch phụ trách rủi ro và tình báo cho Telenor ASA, nơi cung cấp dịch vụ viễn thông chính ở Na Uy.

Phát ngôn viên của công ty Nio từ chối bình luận về câu chuyện trên.

TQ là thị trường xe điện lớn nhất thế giới. Một nghiên cứu của Cơ quan Năng lượng Quốc tế có trụ sở tại Paris, Pháp cho thấy, trong số 14 triệu xe điện mới được đăng ký trên toàn cầu vào năm 2023, có gần 60% là ở TQ, vượt xa châu Âu (25%) và Mỹ (chỉ 10%).

Xe điện TQ có mặt khá hạn chế ở Mỹ một phần do mức thuế suất từ chính phủ cựu Tổng thống Donald Trump áp đặt với loại phương tiện này và được người kế nhiệm ông là Joe Biden giữ nguyên.

Hôm 14/5, chính phủ Hoa Kỳ đã cho công bố mức thuế suất mới với xe điện do TQ chế tạo, tăng gấp 4 lần mức thuế hiện tại từ 27,5% lên 102,5%, cũng như áp đặt các mức thuế mới với pin năng lượng Mặt trời, thép và nhôm.

Các mức thuế mới sẽ tác động đến 18 tỷ USD hàng hóa nhập khẩu từ TQ.

Theo tạp chí Time, hiện TQ xuất khẩu rất ít xe điện sang Mỹ nên khó có khả năng mức thuế mới sẽ có nhiều tác động trong ngắn hạn. Trong quý 1/2024, chỉ có một công ty TQ là Geely xuất khẩu xe điện sang Mỹ và hãng này chiếm chưa đến 1% thị trường.

Tuy nhiên, chính phủ Mỹ có giải thích, họ lo ngại về lâu dài, các khoản trợ cấp từ Bắc Kinh dành cho ngành kỹ nghệ xe điện có thể giúp phía TQ giành được thị trường lớn hơn ở Mỹ.

Cuối tháng 2, Tòa Bạch Ốc cho biết Mỹ đang mở một cuộc điều tra về việc liệu xe nhập khẩu từ TQ có gây ra các rủi ro về an ninh quốc gia hay không và có thể áp đặt các hạn chế do lo ngại về kỹ thuật xe được kết nối qua mạng.

Tòa Bạch Ốc tuyên bố cuộc điều tra của Bộ Thương mại Mỹ là cần thiết vì các phương tiện xe này cho "thu thập số lượng lớn thông tin riêng tư nhạy cảm về tài xế và hành khách, thường xuyên sử dụng camera và cảm biến để ghi lại thông tin chi tiết về các cơ sở hạ tầng của Mỹ".

Vì các xe tự lái có thể "được điều khiển hoặc vô hiệu hóa từ xa", Bộ Thương mại Mỹ cũng sẽ xem xét đánh giá về các loại xe này.

Thời điểm đó, Tổng thống Joe Biden tuyên bố: "Các chính sách của TQ có thể làm thị trường Mỹ bị ngập tràn xe của họ, gây ra rủi ro cho an ninh quốc gia. Tôi sẽ không để điều đó xảy ra dưới dưới quyền của tôi".

Theo các chuyên gia, bất chấp những tranh cãi về xe điện do Bắc Kinh sản xuất, không có nhiều số liệu công khai về các rủi ro bảo mật và quyền riêng tư cụ thể của loại phương tiện xe này.

Xe điện sử dụng một số lượng lớn các con chip để kiểm soát mọi thứ, từ mức không khí trong vỏ xe đến việc điều hướng và kiểm soát nguồn pin, đồng thời mỗi loại xe có thể thu thập một số thông tin cụ thể. Một chiếc xe điện có thể sử dụng 2,000 đến 3,000 con chip, gấp đôi so với chiếc xe hơi chạy xăng. Tuy nhiên, thật khó để nghiên cứu tường tận được.

Theo Renaud Feil, người sáng lập và Giám đốc điều hành của Synacktiv, công ty tư vấn về an ninh mạng ở Paris này đã nhận được sự hoan nghênh trong ngành do hành vi hack xe điện của Tesla tại cuộc thi thường niên do hiệp hôi ngành xe tài trợ. Renaud Feil cho biết các công cụ tiêu chuẩn được các chuyên gia nghiên cứu an ninh mạng sử dụng để trích xuất số liệu từ PC (máy tính cá nhân) và máy chủ đơn giản là không hoạt động trên xe điện.

Do đó, họ thường phải bắt đầu lại ngay từ đầu, sử dụng các chương trình chuyên dụng để lấy ra các thông tin từ nhiều hệ thống khác nhau của xe điện, tìm hiểu các giao thức bất thường và cố gắng hiểu cách tất cả phần hoạt động cùng nhau, theo lời của Renaud Feil cho biết.

Tor Indstøy cho biết ông và nhóm của mình chưa phát hiện ra bất cứ điều gì bất ngờ về xe điện Nio ES8, nhưng đã tìm thấy một số lĩnh vực tiềm ẩn đáng lo ngại.

Một là cách thức mà thông tin số liệu đến và đi từ xe ES8. Các chuyên gia nghiên cứu cho biết khoảng 90% thông tin liên lạc, gồm hàng loạt số liệu từ lệnh đơn giản đến xe và vị trí thực tế của xe điện, đã được gửi về TQ. Các điểm khác mà các số liệu này gửi đến là Đức, Mỹ, Hoà Lan, Thụy Sĩ,…có thể là những nơi có đặt các máy chủ (servers).

Theo Tor Indstøy, điều gây ra sự lo ngại khác là bản chất mơ hồ của một số thông tin liên lạc đó. Chẳng hạn, các chuyên gia đã tìm thấy một file duy nhất, không có mã hóa được xe ES8 tải xuống liên tục từ địa chỉ web nio.com, nhưng cho đến nay, họ vẫn chưa tìm ra mục đích của hành vi mờ ám này.

Ngoài ra, xe ES8 có camera được kết hợp ở gương chiếu hậu. Sách hướng dẫn sử dụng cho biết, đó là một phần của hệ thống "phát hiện tình trạng buồn ngủ của tài xế", nhưng Tor Indstøy nói rằng điều này cũng cho thấy chủ nhân xe ES8 không có thông tin đầy đủ về số liệu được xe này cho thu thập.

Ông nói: "Chúng tôi muốn nêu ra ý nghĩa thực sự về mặt an ninh và rủi ro của việc mua một chiếc xe điện của TQ".