Attacco Bus Driver: un dispositivo da 100 euro come una moneta può dirottare l'autopilota di un Boeing 737

Presentato al simposio USENIX Security 2026, l'attacco 'Bus Driver' è una delle dimostrazioni pratiche di hacking aeronautico più concrete mai rese pubbliche. Un team di ricercatori dell'Università della California di San Diego (UCSD) e dell'Oberlin College ha realizzato un dispositivo Wi-Fi grande come una moneta, dal costo inferiore ai 100 dollari, che può essere installato fisicamente su un Boeing 737 in meno di 60 secondi e può prendere il controllo dell'autopilota iniettando comandi sul bus avionico ARINC 429, che non è crittografato .

Come funziona l'attacco: accesso fisico e impianto

L'attaccante inizia aprendo un portello non bloccato sulla parte esterna del velivolo: il vano E&E (Electronics and Equipment), in circa 15 secondi e senza utensili speciali . All'interno si trova una porta di manutenzione diagnostica, usata dal personale di terra per testare e risolvere problemi agli avionici, che è collegata direttamente al Flight Management Computer (FMC) e al Multipurpose Control Display Unit (MCDU) della cabina di pilotaggio attraverso il bus ARINC 429 .

Il dispositivo su misura dei ricercatori, grande all'incirca come una moneta da 2 euro, si inserisce in questa porta e si nasconde completamente sotto il coperchio antipolvere esistente, rendendolo invisibile durante un'ispezione superficiale. L'installazione totale richiede meno di 60 secondi .

Una volta collegato, il dispositivo utilizza una tecnica che i ricercatori chiamano 'Bus Driver': invia segnali a una corrente elettrica più alta per sovrascrivere e sostituire i comandi genuini trasmessi tra FMC e MCDU. Poiché il protocollo ARINC 429 non prevede crittografia né autenticazione, il dispositivo può intercettare, modificare e iniettare messaggi senza essere rilevato . Il dispositivo include anche un modulo Wi-Fi, che consente a un attaccante di controllarlo da remoto attraverso la rete Wi-Fi di bordo dell'aereo .

Manipolazioni specifiche che il dispositivo può eseguire

Il dispositivo 'Bus Driver' concede all'attaccante varie forme di controllo sugli avionici del velivolo:

• Alterare i waypoint dell'autopilota: può apportare piccole modifiche incrementali ai waypoint del piano di volo. Nel tempo, queste modifiche furtive possono deviare gradualmente l'aereo dalla rotta prevista senza attivare allarmi per i piloti .
• Modificare le variabili di decollo: può alterare input critici usati dal FMC per calcolare le prestazioni di decollo, come il peso del velivolo e la temperatura esterna. Se il FMC registra un peso inferiore o una temperatura più alta rispetto alla realtà, potrebbe calcolare una spinta insufficiente per un decollo sicuro .
• Falsificare i display dei piloti: il dispositivo corrompe simultaneamente i dati mostrati sugli strumenti in cabina, nascondendo le modifiche. Il pilota vede valori falsi ma plausibili, rendendo difficile la rilevazione dell'attacco .

Potenziali conseguenze

I ricercatori avvertono che queste capacità potrebbero portare a conseguenze gravi:

• Sforamenti di pista al decollo a causa di valori di peso/temperatura manomessi .
• Deviazione del velivolo verso spazio aereo straniero o interdetto .
• Incidenti catastrofici negli scenari peggiori .

La risposta di Boeing e la tempistica

Boeing ha dichiarato di essere 'fiduciosa che gli strati di protezione presenti sull'aereo, inclusi quelli nella progettazione del sistema e nell'ambiente operativo, forniscano una mitigazione sufficiente per limitare significativamente la fattibilità e il rischio di attacchi nel mondo reale' . Tuttavia, i ricercatori riferiscono che Boeing è stata informata per la prima volta di elementi della ricerca più di sei anni fa, intorno al 2020, e non ha reso noto alcun intervento tecnico specifico per risolvere la vulnerabilità .

Mitigazioni raccomandate

I ricercatori propongono sia soluzioni fisiche a breve termine che soluzioni ingegneristiche a lungo termine:

Rimedi fisici a breve termine

• Riempire la porta di manutenzione esterna con resina epossidica per bloccarne l'accesso fisico .
• Rimuovere completamente il connettore dal velivolo .

Soluzioni software/hardware a lungo termine

• Implementare un rilevamento software per identificare segnali anomali sul bus avionico .
• Aggiungere autenticazione crittografica alle comunicazioni ARINC 429 per prevenire la falsificazione dei messaggi .

Nonostante la gravità della dimostrazione, i ricercatori sottolineano che continuano a volare sui Boeing 737 di persona. Non chiedono la messa a terra dei velivoli, ma sostengono una pianificazione industriale a lungo termine per affrontare questa classe di attacchi agli avionici che sfruttano l'accesso fisico .