Atak „Bus Driver”: Urządzenie za 100 USD może przejąć autopilota Boeinga 737 w 60 sekund

Na 35. sympozjum USENIX Security w Baltimore, 13 sierpnia 2026 roku, zespół badaczy z UC San Diego i Oberlin College zaprezentował szokujący dowód koncepcji ataku na komercyjne lotnictwo. Nazwany atakiem „Bus Driver”, wykorzystuje implant sprzętowy wielkości monety, który może przejąć autopilota i systemy zarządzania lotem Boeingów 737 Next Generation i MAX – a wszystko zaczyna się od mniej niż minuty fizycznego dostępu do niezabezpieczonego zewnętrznego portu samolotu .

Jak działa atak Bus Driver

Naukowcy – pod kierownictwem byłego doktoranta UCSD, Sama Crowa – zaprojektowali, zbudowali i zaprogramowali małą płytkę drukowaną, która działa jako złośliwe urządzenie zewnętrzne wpięte między dwa krytyczne komputery pokładowe . Oto jak przebiega atak:

Instalacja fizyczna w mniej niż 60 sekund

Urządzenie, mniej więcej wielkości amerykańskiej ćwierćdolarówki i kosztujące poniżej 100 dolarów, instaluje się, otwierając zewnętrzny właz w kadłubie samolotu, który zapewnia dostęp do wnęki elektronicznej i wyposażenia (E&E) . Atakujący może otworzyć ten właz w około 15 sekund bez specjalnych narzędzi, a następnie wpiąć implant do odsłoniętego portu komputera pokładowego (OMC) . Cały proces zajmuje mniej niż 60 sekund, a urządzenie jest na tyle małe, że można je ukryć pod zaślepką portu, pozostając niewidocznym podczas rutynowych inspekcji .

Wykorzystanie szyny awionicznej ARINC 429

Po podłączeniu implant wpięty jest w niezaszyfrowaną szynę danych awionicznych ARINC 429, szeregową szynę z jednym masterem, która przenosi całą komunikację między komputerem zarządzania lotem (FMC) a wielofunkcyjnym panelem sterowania i wyświetlania pilota (MCDU) . ARINC 429 nie ma wbudowanego uwierzytelniania ani szyfrowania. Co kluczowe, jej konstrukcja elektryczna wykorzystuje rezystory dopasowujące impedancję, które pozwalają złośliwemu urządzeniu na elektryczne nadpisywanie prawowitych sygnałów poprzez dostarczanie większego prądu na linie szyny niż autoryzowany nadajnik . Naukowcy nazwali tę technikę tłumienia sygnału atakiem „Bus Driver” .

Co implant może zmienić

Gdy implant Bus Driver przejmie kontrolę nad szyną, może wstrzykiwać sfałszowane komendy, aby:

• Zmienić punkty nawigacyjne i skierować samolot z zaprogramowanej trasy lotu
• Zmieńić obliczenia masy startowej, co bezpośrednio wpływa na prędkości V (prędkość rotacji wymagana do startu)
• Modyfikować wartości temperatury powietrza zewnętrznego i ilości paliwa, co zmienia krytyczne obliczenia wydajności

Stealth: Sfałszowany wyświetlacz pilota

Jednocześnie urządzenie wysyła fałszywe dane do wyświetlaczy w kokpicie, tak aby pilot widział oryginalny, niezmieniony plan lotu – skutecznie ukrywając wszystkie zmiany . Pilot nie zobaczy żadnego alertu ani rozbieżności na ekranie MCDU, co sprawia, że atak jest niezwykle trudny do wykrycia z kokpitu .

Sterowanie przez Wi-Fi w locie

Implant zawiera radio Wi-Fi, umożliwiając atakującemu wysyłanie komend bezprzewodowo w czasie rzeczywistym, a nawet wdrożenie złośliwej aktualizacji oprogramowania, gdy samolot jest w locie . Oznacza to, że urządzeniem można sterować dynamicznie od momentu instalacji przez cały czas trwania lotu.

Odpowiedź Boeinga

Zespół badawczy po raz pierwszy zgłosił lukę firmie Boeing w 2020 roku, a następnie ściśle współpracował z producentem, aby przetestować i zweryfikować atak we własnym laboratorium Boeinga .

W odpowiedzi Boeing wydał oświadczenie, które bagatelizowało praktyczne ryzyko: „Nasi eksperci techniczni są przekonani, że warstwy zabezpieczeń istniejące w samolocie, w tym w projekcie systemu i środowisku operacyjnym, zapewniają wystarczającą ochronę, aby znacząco ograniczyć możliwość i ryzyko ataków w rzeczywistym świecie” . Boeing oświadczył również, że przeprowadził własny przegląd projektów, instalacji i interfejsów odpowiednich komponentów w odpowiedzi na ustalenia badaczy .

Zalecane środki zaradcze

Naukowcy zaproponowali szereg środków zaradczych, aby rozwiązać problem luki, w tym :

• Fizyczne blokowanie dostępu do zewnętrznego portu OMC/serwisowego, na przykład za pomocą paneli zamykanych na klucz lub plomb zabezpieczających przed manipulacją
• Poprawa izolacji elektrycznej na szynie ARINC 429, aby utrudnić ataki typu bus-driving
• Dodanie uwierzytelniania kryptograficznego do komunikatów ARINC 429
• Wdrożenie fuzji czujników i krzyżowego sprawdzania, aby rozbieżności między parametrami lotu były wykrywane przez systemy nadmiarowe
• Poprawa ostrzegania w kokpicie, aby piloci byli powiadamiani o niezgodnościach między danymi FMC a wyświetlanymi danymi

Naukowcy podkreślili, że ich odkrycia nie wymagają uziemienia floty, ale raczej wdrożenia praktycznych, krótkoterminowych ulepszeń w zakresie bezpieczeństwa fizycznego i integralności szyn awionicznych .