מתקפת 'נהג האוטובוס': מכשיר בגודל מטבע שמשתלט על הטייס האוטומטי של בואינג 737

מתקפת 'Bus Driver' (נהג האוטובוס), שהוצגה בכנס האבטחה USENIX Security 2026, נחשבת לאחת מהדגמות הפריצה הפרקטיות ביותר למטוסים שפורסמו אי פעם. צוות חוקרים מאוניברסיטת קליפורניה בסן דייגו (UCSD) ומכללת אוברלין (Oberlin College) בנה מכשיר Wi-Fi זעיר בגודל מטבע, שעולה פחות מ-100 דולר, ניתן להתקנה פיזית על בואינג 737 תוך פחות מ-60 שניות, ומסוגל להשתלט על הטייס האוטומטי של המטוס על ידי הזרקת פקודות דרך אפיק התקשורת האוויוני הלא מוצפן ARINC 429 .

איך המתקפה עובדת: גישה פיזית והשתלה

התקיפה מתחילה בפתיחת פתח שירות לא נעול על גוף המטוס – תא האלקטרוניקה והציוד (E&E bay) – תוך כ-15 שניות, ללא צורך בכלים מיוחדים . בתוך התא נמצא שקע תחזוקה דיאגנוסטי, המשמש צוותי קרקע לבדיקות ותיקון של מערכות האוויוניקה. שקע זה מחובר ישירות למחשב ניהול הטיסה (FMC) ולתצוגה הרב-תכליתית שבתא הטייס (MCDU) דרך אפיק ARINC 429 .

המכשיר המותאם אישית של החוקרים, שגודלו כשל מטבע (קצת יותר גדול ממטבע של 10 אגורות), מוכנס לשקע הזה ונכנס לחלוטין מתחת למכסה האבק הקיים, מה שהופך אותו לבלתי נראה בבדיקה שגרתית. כל תהליך ההתקנה אורך פחות מ-60 שניות .

לאחר החיבור, המכשיר משתמש בטכניקה שהחוקרים מכנים 'Bus Driver' – שליחת אותות בזרם חשמלי גבוה יותר כדי לעקוף ולהחליף פקודות אותנטיות המועברות בין ה-FMC ל-MCDU. מאחר שלפרוטוקול ARINC 429 אין הצפנה או אימות, המכשיר יכול ליירט, לשנות ולהזריק הודעות מבלי להתגלות . המכשיר כולל גם מודול Wi-Fi, המאפשר לתוקף לשלוט בו מרחוק דרך רשת ה-Wi-Fi הפנימית של המטוס .

מניפולציות ספציפיות שהמכשיר יכול לבצע

מכשיר 'Bus Driver' מעניק לתוקף מספר צורות של שליטה במערכות האוויוניקה של המטוס:

• שינוי נקודות ציון בטייס האוטומטי: המכשיר יכול לבצע שינויים קטנים והדרגתיים בנקודות הציון של תוכנית הטיסה. לאורך זמן, שינויים חמקניים אלה יכולים להסיט בהדרגה את המטוס מהמסלול המתוכנן מבלי להפעיל התראות לטייס .
• שינוי משתני המראה: המכשיר יכול לשנות נתונים קריטיים שבהם משתמש ה-FMC לחישוב ביצועי ההמראה, כמו משקל המטוס וטמפרטורת האוויר החיצונית. אם ה-FMC רושם משקל נמוך יותר או טמפרטורה גבוהה יותר מהמציאות, הוא עלול לחשב דחף בלתי מספק להמראה בטוחה .
• זיוף תצוגות הטייס: במקביל, המכשיר משחית את הנתונים המוצגים במכשירים שבתא הטייס ומסתיר את השינויים. הטייס רואה ערכים כוזבים אך סבירים, מה שמקשה על גילוי המתקפה .

השלכות פוטנציאליות

החוקרים מזהירים כי יכולות אלו עלולות להוביל לתוצאות חמורות:

• חריגה ממסלול ההמראה (runway overrun) בשל ערכי משקל/טמפרטורה שזוייפו .
• הסטת המטוס למרחב אווירי זר או מוגבל .
• התרסקויות קטסטרופליות בתרחישים הגרועים ביותר .

תגובת בואינג וציר הזמן

בואינג מסרה כי היא 'בטוחה ששכבות ההגנה הקיימות במטוס, כולל בתכנון המערכת ובסביבת ההפעלה, מספקות הגנה מספקת כדי להגביל באופן משמעותי את ההיתכנות והסיכון של התקפות בעולם האמיתי' . עם זאת, החוקרים מדווחים כי בואינג קיבלה הודעה על מרכיבי המחקר לפני יותר משש שנים, בסביבות 2020, וכי החברה לא חשפה שום תיקון טכני ספציפי לטפל בפגיעות .

המלצות לצמצום סיכונים

החוקרים מציעים פתרונות פיזיים לטווח קצר ופתרונות הנדסיים ארוכי טווח:

פתרונות פיזיים לטווח קצר

• מילוי שקע התחזוקה החיצוני באפוקסי כדי לחסום גישה פיזית .
• הסרת המחבר מהמטוס כליל .

פתרונות תוכנה/חומרה לטווח ארוך

• יישום זיהוי מבוסס תוכנה לאיתותים חריגים על אפיק האוויוניקה .
• הוספת אימות קריפטוגרפי לתקשורת ARINC 429 למניעת זיוף הודעות .

למרות חומרת ההדגמה, החוקרים מדגישים כי הם עצמם ממשיכים לטוס בבואינג 737. הם אינם קוראים לקרקע את המטוסים, אלא תומכים בתכנון תעשייתי ארוך טווח לטיפול בסוג זה של התקפות אוויוניקה הדורשות גישה פיזית .