Norveç’te Çinli elektrikli otobüs için siber risk bulundu
Norveç’te test edilen Çinli elektrikli otobüsün uzaktan erişim riski ortaya çıktı; ancak bulgular, sorunun Çin menşeli olduğunu kanıtlamadı.
Norveç’te toplu taşıma kurumu Ruter tarafından gerçekleştirilen test, Çinli Yutong elektrikli otobüslerdeki siber güvenlik tartışmasını yeniden gündeme taşıdı. İzole bir maden sahasında yapılan incelemede iki farklı soru ele alındı: Otobüs, istihbarat servisinin bulunduğu Lutvann gibi hassas bölgelerde görsel gözetleme aracı olarak kullanılabilir miydi ve üreticinin uzaktan teşhis ile kablosuz yazılım güncelleme imkânları, aracın kritik sistemlerine erişim sağlayabilir miydi?
İnceleme, bu iki başlığın aynı güvenlik sorununun parçaları olmadığını ortaya koydu. TFIE Strategy Briefing tarafından yayımlanan kapsamlı analiz, Norveç’teki deneyin hangi unsurları ölçebildiğini ve kullanılan karşılaştırmanın Çin kaynaklı bir güvenlik riskini ortaya koyup koyamayacağını değerlendiriyor.
Casusluk ihtimaline ilişkin bulgular, beklendiği kadar çarpıcı çıkmadı. Otobüsün dış kameralarının üreticinin çevrim içi sistemlerinden izole olduğu belirlendi. İç kameralar ise Yutong’a gizli bir bağlantı üzerinden değil, işletmecinin kendi bağlantı altyapısı üzerinden çalışıyordu. Bu nedenle otobüsün Lutvann çevresinde hareketli bir görsel gözetleme platformu olarak kullanılabileceği yönündeki iddia desteklenmedi.
Uzaktan erişim konusunda ise somut bir güvenlik açığı tespit edildi. Ruter, üreticinin sistemleri üzerinden internete bağlı bir hattın otobüsün operasyon açısından önemli bölümlerine ulaşabildiğini belirledi. Yeterli yetkiye sahip bir kullanıcı, bu erişimi aracın çalışmasını engellemek veya otobüsü kullanılamaz hâle getirmek için kullanabilirdi. Ancak bu bulgu, söz konusu erişimin Çinli bir üreticiye özgü olup olmadığını açıklamadı.
Ruter, 2025 model Yutong’u 2022 tarihli bir VDL otobüsüyle karşılaştırdı. VDL aracının kritik sistemleri dış bağlantılara büyük ölçüde kapalıydı ve kendi kendine kablosuz yazılım güncellemesi alamıyordu. Böylece üretici, menşe ülke, araç yaşı, bağlantı seviyesi, güncelleme kabiliyeti ve elektronik mimari aynı anda değişti. Test, bağlantılı bir otobüse uzaktan ulaşılabildiğini, daha sınırlı bağlantıya sahip araçta ise bunun mümkün olmadığını gösterdi; fakat farkın nedenini milliyet üzerinden açıklamaya yetmedi.
Ruter’ın filosunda daha uygun karşılaştırma yapılabilecek Avrupa üretimi araçlar da bulunuyordu. MAN ve Solaris’in daha yeni elektrikli otobüsleri uzaktan teşhis, arka uç sistemleriyle iletişim ve yazılımla ilgili işlevleri destekleyen gelişmiş dijital mimarilere sahipti. Yutong’un bu araçlardan biriyle aynı koşullarda incelenmesi, üreticinin hangi sistemlere erişebildiğini, neleri değiştirebildiğini, güncellemelerin nasıl doğrulandığını ve dış bağlantının işletmeci tarafından ne kadar hızlı kesilebildiğini gösterebilirdi.
Böyle bir karşılaştırma Yutong’a özgü bir zafiyeti ortaya çıkarabilir, Avrupa otobüslerinde benzer risklerin bulunduğunu gösterebilir ya da üreticiler arasında anlamlı farklar belirleyebilirdi. Bunun yerine kullanılan Avrupa modeli, araştırmanın merkezindeki bağlantı ve uzaktan erişim özelliklerinden büyük ölçüde yoksundu.
Norveç’teki sonuçlar kamuoyuna yansırken, Lutvann çevresindeki gözetleme ihtimalinin desteklenmemesi geri planda kaldı. Buna karşılık uzaktan erişim bulgusu, kimi değerlendirmelerde Çinli otobüslerde bir tür “uzaktan durdurma düğmesi” bulunduğu şeklinde sunuldu. Böylece teknik olarak farklı iki bulgu, daha basit bir jeopolitik anlatının içine yerleştirildi.
Toplu taşıma kurumlarının, özellikle kritik kamu altyapısında tedarikçilerin uzaktan erişim yetkilerini sınaması makul bir güvenlik yaklaşımıdır. Ancak belirli bir ülkeye özgü risk iddialarının güvenilir olabilmesi için uygun kontrol araçları gerekir. Yüksek bağlantı seviyesine sahip bir Çinli otobüsün, daha az bağlantılı bir Avrupa aracıyla karşılaştırılması, teknolojik farkların kolayca milliyete bağlanmasına yol açabilir.
Danimarka’da Movia, konuyu farklı bir yöntemle ele aldı ve EY’ye Çinli ve Avrupalı otobüs üreticilerinin siber güvenlik olgunluğunu aynı otomotiv güvenlik çerçeveleri üzerinden değerlendirme görevi verdi. Bu çalışma bir sızma testi değildi ve Ruter’ın uygulamalı incelemesinin yerini tutmuyordu. Buna rağmen, Norveç’teki tartışmada eksik kalan üreticiler arası karşılaştırmayı sağladı.
Movia’nın değerlendirmesinde Çinli üreticiler siber güvenlik bakımından geride kalan taraf olarak görülmedi. Kurum, Çinli otobüslerin diğer üreticilerin araçlarından daha az güvenli sayılması için yeterli dayanak bulunmadığı sonucuna vardı. Bu sonuç, her Yutong uygulamasının her Avrupa modeliyle aynı olduğunu kanıtlamıyor; ancak Ruter’ın tespit ettiği erişimi açıklamak için milliyet faktörünü daha zayıf bir gerekçe hâline getiriyor.
Norveç ve Danimarka’daki çalışmalar birlikte değerlendirildiğinde, asıl güvenlik sorusunun otobüsün hangi ülkede üretildiğinden çok, bağlı sistemlerinin nasıl yönetildiği olduğu görülüyor. Ulaşım kurumlarının üreticilerin hangi bölümlere uzaktan erişebildiğini, hangi yazılımları değiştirebildiğini, güncellemelerin nasıl doğrulandığını, batarya ve hareket sistemlerinin ne kadar ayrıştırıldığını ve dış erişimin gerektiğinde ne kadar hızlı kesilebildiğini bilmesi gerekiyor.
Bu kurallar Yutong, MAN, BYD, Solaris, Mercedes-Benz veya Volvo fark etmeksizin tüm üreticiler için geçerli olmalı. Norveç’teki test, otobüslerde uzaktan erişimin ciddi biçimde incelenmesi gerektiğini gösterdi. Ancak kullanılan karşılaştırma, bu erişimin nedeninin Çin olduğunu ortaya koyamadı. Ayrıntılı analiz TFIE Strategy Briefing’de okunabilir.
