中国产GPS被指存安全漏洞?黑客易得手操控挟持汽车

Macedon

网络安全研究人员发现，一款在全球广泛使用的中国产汽车全球定位（GPS）追踪装置存在严重漏洞，容易让黑客入侵车上软件，继而挟持汽车，因此对路面交通和国家安全都构成潜在威胁。专家呼吁用户立即停用该款产品，直至制造商修补软件漏洞为止。

综合美联社及全国公共广播电台（NPR）报道，波士顿网络安全评级公司BitSight在19日发表报告，表示事件中的GPS追踪装置产自深圳厂商MiCODUS，型号为“MV720”。研究人员自去年9月起，已向对方反映问题要求跟进，到今年4月，联邦网络安全和基础设施安全局（CISA）亦已介入，但至今未有收到回应。除了BitSight外，CISA亦发表报告，表示“MV720”定位装置存在5大漏洞，但暂未发现大规模黑客渗透的迹象。据悉，涉事的追踪装置主要用于汽车防盗，以及方便企业管理旗下车队，目前在全球169个国家或地区广泛使用，每套装置成本不到25美元。MiCODUS表示，产品在全球售出150万部，全球42万名用户正在使用。

BitSight首席研究员乌姆贝利诺（Pedro Umbelino）表示，黑客可以利用“MV720”的软件漏洞，遥距切断车辆的燃油管路；掌握车辆的实时位置；或者监控、截取车辆的多方面信息，必要的话可以挟持车辆，在可以预见的情况中，急救车辆可能突然停驶，黑客亦可关闭车辆引擎，并向车主索取赎金。

BitSight表示，“MV720”出厂时附带密码，但超过90%用户不会更改密码，因此容易被黑客趁虚而入，此外装置还有1套万用密码，适用于所有设备。研究又发现，负责远程管理“MV720”的网络服务器亦有安全漏洞。

报告表示，目前使用这款设备的包括能源公司、航天公司、南美和东欧部分国家的军队、核电厂运营商和西欧部分国家的执法机构，用户最多的国家包括巴西、墨西哥、西班牙和俄罗斯。

政府前网络安全顾问克拉克（Richard Clarke）表示，相信产品并非设计时蓄意留下漏洞，但依然构成风险，建议美方应减少使用中国的通信零件。