Bir Boeing 737'nin Otopilotu Nasıl 60 Saniyede ve 100 Dolara Ele Geçirilebilir?

Baltimore, Maryland'de düzenlenen 35. USENIX Güvenlik Sempozyumu'nda (13 Ağustos 2026), UC San Diego ve Oberlin College'dan bir araştırma ekibi, ticari havacılık için oldukça çarpıcı bir konsept kanıtlama saldırısı olan "Bus Driver" saldırısını tanıttı. Bu yöntem, bozuk para büyüklüğündeki bir donanım implantı ile Boeing 737 Next Generation ve MAX uçaklarının otopilot ve uçuş yönetim sistemlerini ele geçirebiliyor. Saldırının başlaması için gereken tek şey, uçağın gövdesindeki güvenliği olmayan bir dış port'a bir dakikadan kısa sürede fiziksel erişim sağlamak .

Bus Driver Saldırısı Nasıl Çalışıyor?

Eski bir UCSD doktora öğrencisi olan Sam Crow liderliğindeki ekip, iki kritik yerleşik bilgisayar arasına yerleşen, kötü niyetli bir üçüncü taraf cihazı olarak çalışan küçük bir devre kartı tasarladı, üretti ve programladı . İşte saldırının adım adım işleyişi:

60 Saniyeden Kısa Sürede Fiziksel Kurulum

ABD çeyrek dolarlık madeni para büyüklüğündeki (yaklaşık 2,5 cm çapında) ve maliyeti 100 doların altında olan bu cihaz, uçağın gövdesindeki Elektronik ve Ekipman (E&E) bölmesine erişim sağlayan harici bir kapağın açılmasıyla takılıyor . Bir saldırgan, bu kapağı herhangi bir özel alet kullanmadan yaklaşık 15 saniyede açabiliyor ve ardından implantı, açıkta bulunan bir Yerleşik Bakım Bilgisayarı (OMC) portuna takıyor . Tüm bu işlem 60 saniyeden kısa sürüyor ve cihaz, portun toz kapağının altına gizlenebilecek kadar küçük olduğu için rutin denetimler sırasında fark edilmiyor .

ARINC 429 Avionik Veriyolunu Sömürmek

Bağlandıktan sonra imlant, Uçuş Yönetim Bilgisayarı (FMC) ile pilotun Çok Fonksiyonlu Kontrol ve Ekran Ünitesi (MCDU) arasındaki tüm iletişimi taşıyan, şifrelenmemiş ARINC 429 avionik veriyoluna sızıyor . ARINC 429, dahili bir doğrulama veya şifreleme içermiyor. Daha da önemlisi, elektriksel tasarımındaki empedans uyumlu dirençler sayesinde, kötü niyetli bir cihazın, yetkili vericiden daha fazla akım göndererek meşru sinyalleri elektriksel olarak geçersiz kılmasına izin veriyor . Araştırmacılar bu sinyal bastırma tekniğine "Bus Driver" (Veriyolu Sürücüsü) saldırısı adını verdi .

İmplantın Değiştirebildikleri

Bus Driver implantı veriyolunu ele geçirdiğinde, aşağıdaki sahte komutları enjekte edebiliyor:

• Uçuş rotasındaki ara noktaları (waypoint) değiştirmek ve uçağı yönlendirmek
• Kalkış ağırlığı hesaplamalarını değiştirmek, bu da doğrudan V-hızlarını (kalkış için gereken dönüş hızı) etkiliyor
• Dış hava sıcaklığı ve yakıt miktarı değerlerini değiştirmek, bu da kritik performans hesaplamalarını etkiliyor

Gizlilik: Pilot Ekranının Kandırılması

Tüm bunlar olurken cihaz, eş zamanlı olarak kokpit ekranlarına sahte veriler göndererek pilotun orijinal, değiştirilmemiş uçuş planını görmesini sağlıyor . Pilot, MCDU ekranında herhangi bir uyarı veya tutarsızlık görmüyor, bu da saldırıyı kokpitten tespit etmeyi son derece zorlaştırıyor .

Uçuş Sırasında Wi-Fi Kontrolü

İmplantta bulunan bir Wi-Fi radyo sayesinde, saldırgan kablosuz olarak gerçek zamanlı komutlar gönderebiliyor ve hatta uçak havadayken kötü niyetli bir yazılım güncellemesi bile dağıtabiliyor . Bu, cihazın kurulduğu andan itibaren tüm uçuş boyunca dinamik olarak kontrol edilebileceği anlamına geliyor.

Boeing'in Yanıtı

Araştırma ekibi, bu güvenlik açığını ilk olarak 2020 yılında Boeing'e bildirdi ve ardından saldırıyı Boeing'in kendi laboratuvarında test edip doğrulamak için üreticiyle yakın bir şekilde çalıştı .

Boeing, pratik riski küçümseyen bir açıklama yayınladı: "Teknik uzmanlarımız, uçaktaki mevcut koruma katmanlarının (sistem tasarımı ve işletim ortamı dahil) gerçek dünya saldırılarının olasılığını ve riskini önemli ölçüde sınırlamak için yeterli azaltma sağladığından emindir" . Boeing ayrıca, araştırmacıların bulgularına yanıt olarak ilgili bileşen tasarımlarını, kurulumlarını ve arayüzlerini kendi incelemesinden geçirdiğini belirtti .

Önerilen Önlemler

Araştırmacılar, bu güvenlik açığını gidermek için bir dizi önlem önerdi :

• Harici OMC/bakım portuna fiziksel erişimin engellenmesi (örneğin kilitlenebilir paneller veya kurcalamaya karşı koruyucu mühürler ile)
• ARINC 429 veriyolunda elektriksel izolasyonun iyileştirilmesi (bus-driving saldırılarını zorlaştırmak için)
• ARINC 429 mesajlarına kriptografik doğrulama eklenmesi
• Sensör füzyonu ve çapraz kontrol uygulanması (uçuş parametrelerindeki tutarsızlıkların yedekli sistemler tarafından tespit edilmesi için)
• Kokpit uyarılarının iyileştirilmesi (pilotların FMC ve ekran verileri arasındaki uyumsuzluklar konusunda bilgilendirilmesi için)

Araştırmacılar, bulgularının filonun yere indirilmesini gerektirmediğini, aksine fiziksel güvenlik ve aviyonik veriyolu bütünlüğü için pratik, kısa vadeli iyileştirmeler çağrısı olduğunu vurguladı .