全球車用資安廠商 VicOne 今日(12/5)發表「VicOne 2023 年汽車網路威脅情勢報告」，這份詳盡的 VicOne 報告是以全球汽車製造商(OEM)、供應商及經銷商的資料為基礎，內容重點如汽車產業的網路攻擊逐漸增加、汽車數據越值錢與網路犯罪活動越活絡、法規仍是汽車產業發展的關鍵力量。
- 汽車產業的網路攻擊逐漸增加：利用供應鏈中的漏洞已成為網路攻擊中普遍的趨勢，特別是針對第三方供應商。
- 汽車數據越值錢 網路犯罪活動越活絡：目前的法規在汽車數據方面的規範仍在完善中
- 法規仍是汽車產業發展的關鍵力量：車輛合規落實網路安全以及有效執行網路安全評估皆是目前挑戰。
「VicOne 2023 年汽車網路威脅情勢報告」指出：「在分析威脅情勢的過程中，我們注意到今年上半年網路攻擊所造成的損失金額已突破 110 億美元，相較於前兩年，可謂史無前例地暴增。仔細研究之後就會發現，這些網路攻擊絕大多數都是瞄準了汽車供應商，顯示此一趨勢正在崛起。令人擔憂的是，這些攻擊超過 90%並非針對車廠本身，而是供應鏈中的其他廠商，因為駭客常常發現資安嚴密的公司較不容易滲透，因此轉而瞄準警覺性較低公司。一旦供應鏈被中斷，車廠同樣亦受到衝擊，所以防範網路攻擊的工作已經不再只是保護好單一企業就行，而是要強化整個供應鏈。」
這份新的 VicOne 報告解析了汽車日益提高的複雜性以及新增的連網能力、自動化和先進駕駛輔助系統(ADAS)的所衍生的網路資安問題。報告指出，業界因網路攻擊(如勒索病毒)以及外洩資料或個人身分識別資訊(PII)曝光所蒙受的損失正在成長，同樣成長的還有系統停機所帶來的成本。VicOne 2023 年汽車網路威脅情勢報告的統計僅納入技術和營運相關的有形成本，不包含品牌、公關、銷售及行銷費用等無形成本。
該報告列出幾個可能導致汽車資料外洩的重要漏洞，並在表格中列出這些常見的弱點列表(CWE)漏洞。越界寫入(OOBW)、越界讀取(OOBR)、緩衝區溢位、用後釋放和不當的輸入驗證漏洞是 VicOne 記錄到最常見的一些問題。而大多數問題是在晶片組或系統單晶片(SoC)上發現，其次是第三方管理應用程式以及車載資訊娛樂(IVI)系統。第三方供應商，包括物流、服務供應商，以及參與車輛元件、配件或零件生產的公司，已日益成為攻擊的焦點。
VicOne 報告也探討了過去一年發生的幾件重大案例，包括：Zenbleed 漏洞(可能導致每個核心敏感資料以每秒 30kb 的速度急速外洩)、CAN 匯流排注入(逐漸成為汽車竊賊的最愛技巧)，以及攻擊車載資通訊系統(telematic systems)與應用程式開發介面(API)的漏洞來滲透後台雲端基礎架構。
儘管目前的法規在關於汽車數據方面的規範仍存在著真空地帶，但 VicOne 報告指出 UN R155 規範將從 2024 年 7 月開始對新生產的車輛要求符合安全條件。
VicOne 執行長鄭奕立表示：「很顯然，汽車產業在資源和預算方面應給予網路資安更高的優先順序，而且必須持續建立流程、發展組織、培養人才、打造完整的體系，否則將無法建立有效的網路資安。現在正是全球汽車產業鏈內所有企業都應該認真探討如何在這份報告點出的焦點領域好好培養自身能力的時候。」
討論區
成為第一個發表的人