Otomobillerde Yeni Siber Tehlike! Risk Araç Dışından Geliyor

Otomobiller artık yalnızca mekanik donanımlardan oluşmuyor. İnternet bağlantısı, mobil uygulamalar, uzaktan erişim özellikleri ve bulut tabanlı hizmetler araçların günlük kullanımında önemli bir yer tutuyor. Ancak teknolojinin otomobillere daha fazla entegre edilmesi, siber saldırılar açısından yeni kapılar da açıyor. Araştırmalar, araçların dijital sistemlerinde ortaya çıkan güvenlik açıklarının yalnızca kişisel verileri değil, bazı durumlarda sürüş güvenliğini de ilgilendirebileceğine işaret ediyor. Bu riskin dikkat çekici örneklerinden biri 2015 yılında yaşandı. Güvenlik uzmanları, bir Jeep Cherokee modelinin bilgi-eğlence sistemine uzaktan erişerek aracın sürüş işlevlerine müdahale edebildi. Olayın ardından Fiat Chrysler, yazılım kusurunu gidermek amacıyla ABD genelinde yaklaşık 1,4 milyon aracı kapsayan geri çağırma kararı aldı. Yeni araştırma, otomobillerin kendi içindeki sistemlerin yanı sıra araçlarla bağlantı kuran dış yazılımların da güvenlik açısından önemli bir risk alanına dönüştüğünü ortaya koydu.

Otomotiv Yazılımlarında Dış Bağlantılı Sistemler Öne Çıkıyor

İsveç'teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesinden araştırmacılar, otomotiv sektöründe daha önce tespit edilmiş 413 yazılım güvenlik açığını mercek altına aldı. Yazılım Kalitesi Dergisi'nde yayımlanan çalışmada, incelenen açıkların yüzde 36,2'sinin araçlarla dışarıdan bağlantı kuran uygulama ve hizmetlerden kaynaklandığı belirlendi. Araştırma, otomotiv siber güvenliğinde zamanla yaşanan değişime de dikkat çekti. Önceki yıllarda araçların kendi sistemleri ön plandayken yeni dönemde mobil uygulamalar, internet hizmetleri ve bulut altyapıları daha büyük bir risk alanı oluşturuyor. Araştırma ekibinde yer alan yazılım mühendisliği uzmanı Srijita Basu, otomobillerin güvenlik sorunlarının artık yalnızca araç içerisindeki donanım ve yazılımlarla sınırlı olmadığını belirtti. Günlük hayatta yaygın biçimde kullanılan çevrim içi teknolojilerin de otomotiv sektörünün siber güvenlik gündeminde yer aldığını ifade etti. Araçlara bağlı mobil uygulamalar ve bulut sistemleri, sürücülerin seyahat güzergâhları, kullanım alışkanlıkları ve kişisel bilgileri gibi çeşitli verileri saklayabiliyor. Bu sistemlerdeki koruma eksiklikleri, yetkisiz kişilerin söz konusu bilgilere ulaşmasına neden olabiliyor. Üstelik tehlike yalnızca kişisel verilerin ele geçirilmesiyle sınırlı kalmayabilir. Bilgi-eğlence ve telematik sistemlerinin araç içerisindeki diğer bileşenlerle veri alışverişi yapması, güvenlik açıklarının daha geniş sonuçlar doğurmasına yol açabilecek bir ihtimal olarak değerlendiriliyor. Basu, bu sistemlerle sürüş açısından kritik bileşenler arasındaki güvenlik sınırlarının yetersiz olması halinde saldırıların farklı araç işlevlerine ulaşabileceği uyarısında bulundu.

413 Güvenlik Açığı ve 827 Savunmasız Kütüphane Tespit Edildi

Araştırmacılar, otomotiv yazılımlarındaki sorunların kapsamını belirlemek için ABD Ulusal Güvenlik Açığı Veri Tabanı'nda Ocak 2022 ile Eylül 2024 arasındaki kayıtları inceledi. Elde edilen veriler farklı güvenlik kaynaklarıyla karşılaştırılarak açıkların hangi yazılım türlerinde yoğunlaştığı, ne derece ciddi olduğu ve geliştirme sürecinin hangi aşamasında ortaya çıktığı değerlendirildi. Yeni bulgular, 2010-2019 dönemini kapsayan önceki araştırmalarla da karşılaştırıldı. Bu inceleme, otomotiv yazılımlarında dış bağlantılı bileşenlerden kaynaklanan güvenlik sorunlarının payında artış yaşandığını gösterdi. Çalışmada yalnızca doğrudan yazılım kusurları değil, geliştiricilerin projelerinde kullandığı hazır kod parçaları da ele alındı. Kütüphane olarak adlandırılan bu bileşenler, yazılım geliştirme sürecini kolaylaştırırken içerdikleri güvenlik açıkları nedeniyle farklı projeler için ortak bir risk oluşturabiliyor. Araştırma ekibi, otomotiv yazılımında veya geliştirme süreçlerinde kullanılan 20 açık kaynaklı projeyi beş ayrı tarama aracıyla kontrol etti. İnceleme sonucunda 827 savunmasız yazılım kütüphanesi tespit edildi. Bazı kütüphanelerin birden fazla projede kullanılması, tek bir bileşendeki güvenlik sorununun farklı sistemleri de etkileyebilme ihtimalini ortaya koydu.

Otomobillerde Siber Güvenlik İçin Üreticilere Uyarı

Araştırmanın sonuçlarına göre güvenlik açıklarının en büyük bölümü yazılımın kodlandığı aşamayla bağlantılı. Tasarım sürecinden kaynaklanan kusurlar ise öne çıkan diğer risk grubu olarak belirlendi. Bu durum, otomotiv yazılımlarında güvenliğin yalnızca ürün tamamlandıktan sonra kontrol edilmesinin yeterli olmadığını gösteriyor. Srijita Basu, otomobil üreticilerinin kullandıkları yazılım bileşenlerini yakından takip etmesi gerektiğini vurguladı. Özellikle dış kaynaklardan temin edilen kütüphanelerin düzenli olarak taranması, yeni açıklanan güvenlik sorunlarının izlenmesi ve tespit edilen kusurların giderilmesi için etkili bir plan hazırlanması gerektiğini belirtti. Araştırmacının dikkat çektiği önlemler arasında sürüş sistemlerinin bilgi-eğlence ve dış bağlantılı yazılımlardan ayrılması da bulunuyor. Böylece araçtaki bir dijital bileşenin saldırıya uğraması halinde güvenlik açısından kritik sistemlere doğrudan ulaşılması engellenebilir. Bununla birlikte araştırma, tespit edilen her güvenlik açığının uzaktan kullanılabileceği veya doğrudan aracın kontrolünü ele geçirmeye imkân tanıdığı anlamına gelmiyor. Çalışma, otomobillerin ne kadarının saldırıya açık olduğunu ortaya koymayı da amaçlamıyor. İncelenen dönemdeki otomotiv kaynaklı güvenlik açıklarından yalnızca 17'sinin ABD siber güvenlik kurumunun bilinen istismarlar kataloğunda yer aldığı belirtiliyor. Ayrıca değerlendirilen 20 açık kaynaklı projenin bütün otomotiv sektörünü temsil etmediği de vurgulanıyor.

Araç Sahipleri Hangi Önlemleri Almalı?

Araştırmacılar, otomobil kullanıcılarının da bağlantılı sistemlerin güvenliği konusunda dikkatli davranması gerektiğini belirtiyor. Araç yazılımlarının güncel tutulması, bağlantılı hesaplarda güçlü ve başka platformlarda kullanılmayan şifrelerin tercih edilmesi, mobil uygulamaların güvenliğinin sağlanması önerilen önlemler arasında bulunuyor. Bunun yanında araç sahiplerinin, kullandıkları uygulamalara verilen izinleri düzenli olarak kontrol etmesi önem taşıyor. Özellikle konum bilgisi ve kişisel verilere erişebilen hizmetlerin hangi bilgilere ulaşabildiğinin bilinmesi, olası veri güvenliği risklerini azaltabilir. Araştırmacılar bireysel önlemlerin önemine dikkat çekse de otomotiv siber güvenliğinin temel sorumluluğunun üreticiler ve tedarikçilerde olduğunu vurguluyor. Araçların giderek daha fazla dijital hizmetle donatılması, yazılım güvenliğinin üretimden kullanım ömrünün sonuna kadar kesintisiz biçimde ele alınmasını gerektiriyor.