Tutkijat loivat alle minuutissa asennettavan laitteen, joka voi kaapata Boeing 737:n ohjauksen

Baltimore, Maryland – 35. USENIX Security Symposium, 13. elokuuta 2026. Kalifornian yliopiston San Diegon (UCSD) ja Oberlin Collegen tutkijaryhmä paljasti uuden, hälyttävän kyberturvallisuusdemonstraation, jonka kohde oli Boeing 737 Next Generation ja MAX -mallit. Hyökkäys, jonka nimi on ”Bus Driver” (”bussikuski”), perustuu kolikkokokoiseen laitteeseen, joka voidaan asentaa lentokoneeseen alle minuutissa ja joka pystyy ottamaan haltuunsa koneen autopilotin ja lennonhallintajärjestelmät .

Miten Bus Driver -hyökkäys toimii

Tutkijat – joita johti entinen UCSD:n tohtorikoulutettava Sam Crow – suunnittelivat, rakensivat ja ohjelmoivat pienen piirilevyn, joka toimii haitallisena kolmannen osapuolen laitteena kahden kriittisen sisäkkäisen tietokoneen välissä .

Fyysinen asennus alle 60 sekunnissa

Laite, joka on noin 50 sentin kolikon kokoinen ja maksaa alle 100 dollaria, asennetaan avaamalla lentokoneen rungon ulkoinen luukku, joka johtaa elektroniikka- ja laitetilaan (E&E, Electronics and Equipment) . Hyökkääjä voi avata tämän luukun noin 15 sekunnissa ilman erikoistyökaluja ja kytkeä sitten laitteen paljaana olevaan huoltotietokoneen (OMC, Onboard Maintenance Computer) porttiin . Koko prosessi kestää alle 60 sekuntia, ja laite on niin pieni, että se voidaan piilottaa portin suojakannen alle, jolloin se jää huomaamatta rutiinitarkastuksissa .

ARINC 429 -avioniikkaväylän hyväksikäyttö

Kun laite on kytketty, se kytkeytyy salaamattomaan ARINC 429 -avioniikkadatan väylään. ARINC 429 on yksimestari-sarjaväylä, joka kuljettaa kaiken viestinnän lennonhallintatietokoneen (FMC, Flight Management Computer) ja ohjaajan monitoimiohjaus- ja näyttöyksikön (MCDU, Multifunction Control and Display Unit) välillä . ARINC 429:ssä ei ole sisäänrakennettua todennusta tai salausta. Kriittistä on, että sen sähköinen suunnittelu käyttää impedanssisovitusvastuksia, joiden ansiosta haitallinen laite voi sähköisesti ohittaa oikeutetut signaalit syöttämällä väylälle enemmän virtaa kuin valtuutettu lähetin . Tutkijat kutsuvat tätä signaalin tukahduttamistekniikkaa ”Bus Driver” -hyökkäykseksi .

Mitä laite voi muuttaa

Kun Bus Driver -laite ohittaa väylän, se voi lähettää väärennettyjä komentoja:

• Muuttaa reittipisteitä ja ohjata konetta pois sen ohjelmoidulta lentoreitiltä
• Muuttaa lentoonlähtöpainolaskelmia, mikä vaikuttaa suoraan V-nopeuksiin (nopeus, jolla kone nousee ilmaan)
• Muuttaa ulkoilman lämpötila- ja polttoainemääräarvoja, mikä muuttaa kriittisiä suorituskykylaskelmia

Salakavala ohjaamonäyttöjen huijaus

Samanaikaisesti laite lähettää väärennettyä dataa ohjaamon näytöille, joten lentäjä näkee alkuperäisen, muuttumattoman lentosuunnitelman – kaikki muutokset piilotetaan tehokkaasti . Lentäjä ei näe MCDU:n näytöllä mitään hälytystä tai poikkeavuutta, mikä tekee hyökkäyksestä erittäin vaikeasti havaittavan ohjaamosta käsin .

Wi-Fi-ohjaus lennon aikana

Laite sisältää Wi-Fi-radion, jonka avulla hyökkääjä voi lähettää komentoja langattomasti reaaliajassa tai jopa asentaa haittaohjelmapäivityksen lennon aikana . Tämä tarkoittaa, että laitetta voidaan ohjata dynaamisesti asennushetkestä koko lennon ajan.

Boeingin vastaus

Tutkimusryhmä ilmoitti haavoittuvuudesta Boeingille ensimmäisen kerran vuonna 2020, ja tutkijat työskentelivät tiiviisti valmistajan kanssa testatakseen ja validoidakseen hyökkäyksen Boeingin omassa laboratoriossa .

Vastauksena Boeing julkaisi lausunnon, jossa se vähensi käytännön riskiä: ”Tekniset asiantuntijamme ovat varmoja, että lentokoneessa olevat suojauskerrokset, mukaan lukien järjestelmän suunnittelu ja käyttöympäristö, tarjoavat riittävän suojan rajoittaakseen merkittävästi todellisten hyökkäysten toteutettavuutta ja riskiä” . Boeing totesi myös suorittaneensa oman tarkastuksensa asiaankuuluvien komponenttien suunnittelusta, asennuksista ja liitännöistä tutkijoiden havaintojen perusteella .

Suositellut suojaustoimenpiteet

Tutkijat ehdottivat useita toimenpiteitä haavoittuvuuden korjaamiseksi :

• Fyysisen pääsyn estäminen ulkoiseen OMC-/huoltoporttiin, esimerkiksi lukittavilla paneeleilla tai varmuussinetöinneillä
• Sähköisen eristyksen parantaminen ARINC 429 -väylällä, jotta väyläohjaushyökkäykset vaikeutuvat
• Kryptografisen todennuksen lisääminen ARINC 429 -viesteihin
• Anturifuusion ja ristiintarkistuksen käyttöönotto, jotta lentoparametrien poikkeamat havaitaan redundanttien järjestelmien avulla
• Ohjaamohälytysten parantaminen, jotta lentäjille ilmoitetaan FMC:n ja näyttödatan välisistä ristiriidoista

Tutkijat korostivat, että heidän löydöksensä eivät edellytä laivaston käyttökieltoa, vaan pikemminkin käytännön, lyhyen aikavälin parannuksia fyysiseen turvallisuuteen ja avioniikkaväylän eheyteen .