KALIMANTAN BARAT — Peretas profesional Dan Hreszczuk berhasil membobol sistem keamanan BYD Shark 6 dan mengendalikan lampu, wiper, hingga pintu dari jarak jauh. Temuan ini mencuat di Australia ketika mobil pick-up 2,6 ton itu sedang dikemudikan di jalan pedesaan. Akses yang dipakai Hreszczuk bahkan tidak dilindungi kata sandi.
Pengujian yang dilakukan Fortify Labs di Canberra mengungkap bahwa BYD Shark 6 menyimpan celah keamanan siber yang serius. Dan Hreszczuk, salah satu pendiri laboratorium tersebut, menghabiskan dua pekan menganalisis sistem digital mobil itu sebelum menemukan jalur masuk yang tidak seharusnya terbuka.
Hreszczuk memang ditugaskan meretas BYD Shark 6 untuk memetakan sejauh mana kendali jarak jauh bisa dilakukan terhadap kendaraan tersebut. Ia mempraktekkan langsung aksinya sambil duduk di pinggir jalan pedesaan Australia, sementara mobil dalam posisi dikemudikan.
Pintu masuk utama yang ditemukan Hreszczuk adalah akses ke sistem digital mobil yang sama sekali tidak memiliki kata sandi. Dari celah itu, ia mengurai program perangkat lunak yang mengendalikan berbagai fungsi kendaraan.
"Akses yang kami manfaatkan itu bahkan tidak memiliki kata sandi. Agak menakutkan betapa terbukanya BYD Shark terhadap peretas," kata Hreszczuk kepada ABC Australia.
Kemudahan itu membuat proses peretasan berlangsung jauh lebih cepat dari perkiraan timnya. "Itu lebih mudah dari yang kami perkirakan," ujarnya menambahkan.
Dalam demonstrasinya, Hreszczuk menunjukkan sejumlah fungsi yang bisa dikendalikan dari jarak jauh. Ia mengunci pintu, memutar musik dengan volume keras, dan menampilkan gambar di layar hiburan mobil.
Yang paling mengganggu pengemudi: Hreszczuk menyalakan wiper kecepatan maksimum, menyemprotkan air ke kaca depan, lalu menyalakan dan mematikan lampu utama secara bergantian. Ia juga membuat pengeras suara mengulang pesan "Demi keselamatan, gunakan lampu dekat" sebelum akhirnya mematikan lampu sepenuhnya.
Meski begitu, Hreszczuk menegaskan tidak bisa mengakses fungsi-fungsi utama kendaraan seperti rem dan kamera. Batasan ini sedikit meredam kekhawatiran soal keselamatan langsung, tapi tidak menghapus persoalan privasi dan kendali jarak jauh.
Mobil listrik dan hybrid modern makin banyak dikendalikan perangkat lunak. Produsen bisa mengubah, memperbarui, dan mengendalikan kendaraan dari jarak jauh. Pada kasus BYD dan beberapa perusahaan lain, perangkat lunak itu dikendalikan langsung dari China.
Sensor, kamera, dan mikrofon yang memenuhi mobil listrik menyerap data dalam jumlah besar. Para ahli menilai data itu berisiko ketika berada di bawah kendali produsen mobil listrik China, karena mereka dapat dipaksa undang-undang keamanan nasional untuk bekerja sama dengan pihak berwenang.
Di Australia, Kementerian Pertahanan tidak memberlakukan larangan menyeluruh terhadap merek asal Tiongkok. Namun ASIO telah memperingatkan para menteri dan pegawai negeri agar tidak melakukan percakapan sensitif di dalam mobil mereka atau menghubungkan perangkat kerja.
Menteri Perdagangan Australia Don Farrell sendiri memiliki BYD Shark 6, kendaraan yang sama yang diretas Hreszczuk. Farrell baru-baru ini menyebutnya sebagai "truk pikap terbaik yang pernah saya miliki".
BYD sudah menjual sejumlah model listrik di Indonesia, termasuk varian yang mengandalkan konektivitas digital. Temuan Fortify Labs menjadi pengingat bahwa keamanan siber kendaraan terhubung belum jadi prioritas regulasi di banyak negara, termasuk Indonesia.
Hingga berita ini ditulis, belum ada pernyataan resmi dari BYD Indonesia maupun ATPM terkait temuan Hreszczuk. Pemilik kendaraan terhubung disarankan memperhatikan pembaruan perangkat lunak dan tidak menghubungkan perangkat kerja ke sistem hiburan mobil.