Otomobilinizin Anahtarı Hacker’ların Elinde mi? Bluetooth Zafiyeti ve Türkiye Gerçeği
Son yıllarda otomobil dünyasında işler ne kadar hızlı değişti, değil mi? Eskiden bir arabayı incelerken tork eğrisine, süspansiyonun tepkisine, viraj stabilitesine ya da motor sesinin o büyüleyici tınısına odaklanırdık. Bugün ise bir otomobil yazarı olarak test sürüşüne çıktığımda kendimi ekranların çözünürlüğünü, yazılım güncellemelerinin akıcılığını ve kablosuz bağlantı protokollerini analiz ederken buluyorum. Otomobillerimiz artık tekerlekli devasa bilgisayarlara dönüştü. Ancak bu dijitalleşme konforu artırırken, maalesef hiç alışık olmadığımız yeni kabusları da hayatımıza sokuyor: Siber Güvenlik Zafiyetleri.
Geçtiğimiz günlerde yayınlanan son araştırma tam da bu noktada tüylerimi ürpertti. Araştırmaya göre, yollarda gezinen en az 2 milyon araç, son derece kritik bir Bluetooth güvenlik açığı yüzünden uzaktan kapı kilitlerinin açılması, korna ve farlarının tetiklenmesi hatta motorlarının bloke edilmesi riskiyle karşı karşıya.
Gelin bu olayın teknik detaylarını, nasıl gerçekleştiğini ve en önemlisi bu durumun Türkiye’deki araçları ve sürücüleri etkileyip etkilemediğini birlikte inceleyelim.
Masum Bir “Hırsızlık Önleme Cihazı” Nasıl Hacker Kapısına Dönüştü?
Olayın merkezinde KARR Security System adında, Acrisure Protection Group tarafından üretilen bir satış sonrası (aftermarket) bayi güvenlik modülü yer alıyor. Kaliforniya Üniversitesi San Diego (UCSD) araştırmacıları, bu cihaz üzerindeki Bluetooth Low Energy (BLE) protokolünü incelediklerinde skandal bir hatayla karşılaştılar.
Sistem nasıl çalışıyor? Bayiler, araç envanterlerini takip etmek ve stok güvenliğini sağlamak için Honda, Toyota, Mazda, Ford ve Jeep gibi markaların sıfır km araçlarına bu cihazı önceden takıyorlar. Araç satıldığında ise müşteriye ek bir güvenlik sistemi seçeneği olarak sunuluyor.
Buraya kadar her şey normal görünüyor. Ancak zafiyetin kalbinde yatan hata tam bir güvenlik mühendisliği fiyaskosu: Tüm cihazlarda aynı doğrulama anahtarı (master key) kullanılmış!
Yani basitçe söylemek gerekirse; üretici firma üretilen tüm cihazların şifresini adeta “1234” yapmış.
Hack Süreci Nasıl İşliyor?
-
Sinyal Dinleme: Saldırgan, Bluetooth menzilinde (yaklaşık 10-15 metre) bulunan araca özel bir mobil uygulama üzerinden ping atıyor.
-
Kimlik Doğrulama Atlatma: Cihazların tümünde aynı sabit anahtar tanımlı olduğu için, hacker’ın geliştirdiği zararlı yazılım kendini meşru sürücünün telefonuymuş gibi tanıtıyor.
-
Komut Gönderme: Cihaz, aracın CAN-Bus (Controller Area Network) ağına doğrudan veya dolaylı olarak bağlı olduğundan; kapıları açabiliyor, korna basabiliyor, flaşörleri yakabiliyor veya motorun çalışmasını engelleyebiliyor.
Daha da korkutucu olanı ne biliyor musunuz? Sürücülerin büyük çoğunluğu araçlarında böyle bir modülün takılı olduğundan haberdar bile değil! Bayi cihazı sökmek yerine pasif bırakmış olabilir ve sürücü farkında olmadan potansiyel bir yürüyen güvenlik açığıyla geziniyor.
Türkiye Bu Durumdan Etkileniyor mu?
Bir otomobil yazarı olarak haberi ilk okuduğumda aklıma gelen ilk soru şuydu: “Bizim ülkemizdeki araç sahipleri gece yatağında rahat uyuyabilir mi?”
Gelin Türkiye pazarı ve yerel dinamikler açısından bu konuyu katman katman analiz edelim.
1. KARR Cihazı Özelinde Türkiye Riski: Düşük Ancak Sıfır Değil!
-
Distribütör Satışları: Türkiye’de yetkili bayi ağları üzerinden satılan resmi Honda, Toyota, Ford, Mazda veya Jeep modellerinde fabrikasyon olarak KARR sistemi bulunmaz. Türkiye distribütörleri bayi stoğunu takip etmek için bu Amerikan menşeili üçüncü taraf modülleri tercih etmezler. Bu açıdan bakıldığında, Türkiye’deki standart kullanıcılar için doğrudan KARR zafiyeti riski oldukça düşüktür.
-
Gri Market ve ABD İthalatı Araçlar: Ancak gözden kaçırmamamız gereken kritik bir detay var. Türkiye’de özellikle galeri kanalıyla veya özel ithalatla (Gri Market) ülkeye sokulmuş, ABD spesifikasyonlu (US-Spec) binlerce araç bulunuyor (özellikle Mustang, Jeep Wrangler, Ford F-150, ABD üretimi Honda Accord veya Toyota modelleri gibi). Bu araçlar ABD’deki bir bayiden çıkıp Türkiye’ye ihraç edildiyse, direksiyon kolonunun altında Blinking Button (yanıp sönen buton) şeklinde bu cihaz takılı kalmış olabilir!
2. Genel Bluetooth Zafiyetleri ve Türkiye Otomotiv Pazarı: Yüksek Risk!
Haber her ne kadar KARR cihazı odağında gelişse de, otomobillerdeki tek Bluetooth tehdidi bu değil. Son dönemde küresel çapta tespit edilen PerfektBlue (BlueSDK zafiyeti) gibi daha geniş kapsamlı Bluetooth açıkları, doğrudan otomobil üreticilerinin kendi bilgi-eğlence (infotainment) sistemlerini hedef alıyor.
-
Mercedes-Benz, Volkswagen, Skoda ve Audi Grubu: Alman üreticilerin bilgi-eğlence sistemlerinde kullanılan OpenSynergy BlueSDK yazılım kütüphanesindeki zafiyetler (CVE-2024-45431 vb.), Türkiye sokaklarındaki milyonlarca VAG grubu ve Mercedes aracı doğrudan kapsıyor.
-
Sonradan Takılan Multimedya ve Takip Sistemleri: Ülkemizde özellikle ikinci el araçlarda çok yaygın olan Çin menşeili “Android Multimedya Ekranları”, ucuz araç takip cihazları ve filolarda kullanılan Bluetooth tabanlı Immobilizer sistemleri, siber güvenlik denetiminden geçmediği için aynı sabit şifre/anahtar fiyaskolarına fazlasıyla açık.
Türkiye Siber Güvenlik Başkanlığı (TR-CERT / USOM) Uyarıları:
T.C. Siber Güvenlik Başkanlığı ve USOM, araç içi kablosuz iletişim sistemlerindeki zafiyetlere (Bluetooth Core Specifications zafiyetleri dahil) karşı zaman zaman resmi güvenlik bildirimleri yayınlamaktadır. Özellikle otomotiv endüstrisi standartı olan ISO/SAE 21434 Siber Güvenlik Yönetimi standartlarına uyum sağlamayan donanımların araçlara entegre edilmesi büyük risk taşımaktadır.
Otomobilinizi Siber Saldırılardan Korumak İçin 5 Altın Kural
Teknoloji bağımlısı araçlarımızda siber hijyeni korumak artık en az motor yağını değiştirmek kadar hayati bir bakım adımı haline geldi. İşte direksiyon başındaki her sürücünün uygulaması gereken pratik önlemler:
-
Direksiyon Altını Kontrol Edin: Araç sürücü tarafı pedalların üst/alt kısmında veya sigorta kutusu yakınında sonradan eklenmiş, küçük yanıp sönen bir LED buton veya modül var mı bakın. İthal bir araç kullanıyorsanız ve bu cihazı görüyorsanız yetkili servisinize danışarak devreden çıkartılmasını isteyin.
-
Yazılımları Güncel Tutun (OTA & Servis): Aracınız kablosuz (Over-The-Air) güncelleme alıyorsa gelen sistem güncellemelerini ertelemeyin. Servis bakımlarında bilgi-eğlence yazılımınızın en güncel sürüme çekildiğinden emin olun.
-
Kiralık ve İkinci El Araçlarda Bluetooth Eşleşmelerini Silin: Kiraladığınız ya da sattığınız araçların bilgi-eğlence sisteminden telefonunuzun tüm eşleşme geçmişini, rehber ve erişim izinlerini sıfırlayın.
-
Bilinmeyen Bluetooth Bağlantı Taleplerini Reddedin: Seyir halindeyken veya park halindeyken ekrana düşen tanımadığınız eşleşme isteklerini asla onaylamayın.
-
Kalitesiz Aftermarket Donanımlardan Kaçının: Aracınıza sonradan taktıracağınız alarm, uzaktan çalıştırma, araç takip veya multimedya sistemlerinin bilinen, siber güvenlik sertifikalı markalar olmasına özen gösterin.
“Mekanik Bağlantılardan Dijital Bağımlılığa”
Biz otomobil severler araçlarımızla duygusal bir bağ kurarız. Onların tepkilerini, direksiyon hissiyatını, yola tutunmasını severiz. Ancak otomotiv endüstrisinin hırsla atıldığı “bağlantılı araç” (connected cars) yarışında siber güvenliğin bazen ikinci plana atıldığını görmek endişe verici.
Bir güvenlik cihazının, üzerindeki basit bir yazılım hatası yüzünden aracın kapılarını hırsızlara ardına kadar açması tam bir kara mizah örneği. Gelecekte otonom sürüş ve tam dijitalleşme hayatımızın tam merkezine yerleştiğinde, bu tarz yazılım açıklarının bedeli sadece çalınan bir araba değil, sürüş güvenliği olacaktır.
Aracınızın ekranı ne kadar büyük olursa olsun, öncelikli olanın sizin ve sevdiklerinizin emniyeti olduğunu unutmayın.
Katkıda bulunan Yıldız Yurdakul‘a teşekkürler!
