Атака «Водій автобуса»: пристрій за $100, здатний за 60 секунд перехопити автопілот Boeing 737

13 серпня 2026 року на 35-му симпозіумі з безпеки USENIX у Балтіморі команда дослідників з Каліфорнійського університету в Сан-Дієго (UCSD) та Оберлінського коледжу представила вражаючу концептуальну атаку на комерційну авіацію. Під назвою «Bus Driver» (Водій автобуса) ця експлойтна атака використовує апаратний імплант розміром з монету, який здатен перехопити автопілот та системи управління польотом літаків Boeing 737 Next Generation і MAX — і все це потребує менше хвилини фізичного доступу до незахищеного зовнішнього порту літака .

Як працює атака «Bus Driver»

Дослідники — під керівництвом колишнього аспіранта UCSD Сема Кроу — спроєктували, виготовили та запрограмували невелику друковану плату, яка діє як шкідливий сторонній пристрій, вставлений між двома критичними бортовими комп'ютерами . Ось як відбувається атака:

Фізичне встановлення менш ніж за 60 секунд

Пристрій, приблизно розміром з монету номіналом 25 центів (quarter) і вартістю менше $100, встановлюється шляхом відкриття зовнішнього люка на фюзеляжі літака, який веде до відсіку електроніки та обладнання (E&E bay) . Атакуючий може відкрити цей люк приблизно за 15 секунд без спеціальних інструментів, а потім вставити імплант у відкритий порт бортового обслуговуючого комп'ютера (OMC) . Весь процес займає менше 60 секунд, а пристрій настільки малий, що може сховатися під пилозахисною кришкою порту, залишаючись непомітним під час звичайних оглядів .

Експлуатація авіонічної шини ARINC 429

Після підключення імплант втручається в незашифровану шину даних ARINC 429, однопровідну послідовну шину, яка передає всю інформацію між комп'ютером управління польотом (FMC) та багатофункціональним пультом управління та індикації пілота (MCDU) . ARINC 429 не має вбудованої автентифікації чи шифрування. Ключова особливість його електричного дизайну — використання резисторів узгодження імпедансу, які дозволяють шкідливому пристрою електрично перевизначати легітимні сигнали, подаючи на лінії шини більший струм, ніж авторизований передавач . Дослідники назвали цю техніку придушення сигналу атакою «Bus Driver» .

Що може змінити імплант

Після перехоплення шини імплант може вводити підроблені команди для:

• Зміни маршрутних точок і відхилення літака від запрограмованого маршруту
• Зміни розрахунків злітної ваги, що безпосередньо впливає на швидкості V (швидкість відриву, необхідна для зльоту)
• Модифікації значень температури зовнішнього повітря та кількості палива, що змінює критичні розрахунки продуктивності

Стелс-режим: підроблений дисплей пілота

Одночасно пристрій надсилає фальшиві дані на дисплеї в кабіні, тому пілот бачить оригінальний, незмінений план польоту — фактично приховуючи всі зміни . Пілот не побачить жодного попередження чи розбіжності на екрані MCDU, що робить атаку надзвичайно складною для виявлення з кабіни .

Управління через Wi-Fi під час польоту

Імплант має Wi-Fi-радіомодуль, що дозволяє атакуючому надсилати команди бездротово в реальному часі або навіть розгортати шкідливе оновлення програмного забезпечення під час польоту . Це означає, що пристроєм можна динамічно керувати з моменту встановлення і протягом усього польоту.

Реакція Boeing

Дослідницька група вперше повідомила Boeing про вразливість у 2020 році, а потім тісно співпрацювала з виробником для тестування та підтвердження атаки в лабораторії Boeing .

У відповідь Boeing оприлюднив заяву, яка применшувала практичний ризик: «Наші технічні експерти впевнені, що наявні рівні захисту на літаку, включаючи системний дизайн та операційне середовище, забезпечують достатнє пом'якшення, щоб значно обмежити можливість та ризик реальних атак» . Boeing також заявив, що провів власний огляд відповідних компонентів, їх конструкції, встановлення та інтерфейсів у відповідь на висновки дослідників .

Рекомендовані заходи пом'якшення

Дослідники запропонували низку заходів для усунення вразливості, зокрема :

• Фізичне блокування доступу до зовнішнього порту OMC/сервісного порту, наприклад, за допомогою панелей, що замикаються, або пломб, що свідчать про втручання
• Покращення електричної ізоляції на шині ARINC 429, щоб ускладнити атаки типу «Bus Driver»
• Додавання криптографічної автентифікації до повідомлень ARINC 429
• Впровадження злиття даних сенсорів та перехресної перевірки, щоб розбіжності в параметрах польоту виявлялися резервними системами
• Покращення оповіщення в кабіні пілотів, щоб пілоти отримували повідомлення про невідповідність між даними FMC та дисплея

Дослідники наголосили, що їхні висновки не вимагають призупинення експлуатації флоту, а радше закликають до практичних, короткострокових покращень фізичної безпеки та цілісності авіонічних шин .