Especialista hackeou uma BYD Shark em movimento e expôs os riscos dos carros conectados

Uma BYD Shark foi hackeada remotamente enquanto rodava a 30 km/h por uma estrada australiana, à noite. O resultado: faróis apagados em movimento, microfone interno ativado sem que ninguém soubesse e dados pessoais do motorista expostos para um estranho do outro lado da tela. O experimento, feito por um especialista de cibersegurança a pedido da imprensa, levantou uma pergunta incômoda, e vale para qualquer dono de carro conectado no Brasil: você sabe o quanto o seu veículo pode ser acessado de fora?

Salve, motorista! O teste foi organizado pela emissora australiana ABC News e executado por Dan Hreszczuk, fundador da empresa de segurança digital Fortify Labs. A BYD Shark foi o modelo escolhido por ser um dos veículos conectados mais avançados em circulação, e a picape híbrida plug-in já está à venda no Brasil. O que Hreszczuk encontrou foi mais simples, e mais grave, do que se esperava: havia uma porta de entrada no software do veículo que não exigia nenhuma senha para ser acessada.

O que o hacker conseguiu fazer com a picape em movimento

Com acesso ao sistema da picape, Hreszczuk desligou os faróis enquanto o veículo rodava no escuro. Também acionou os limpadores de para-brisa na velocidade máxima, jogou água no vidro, travou as portas, alterou as imagens da central multimídia e reproduziu áudios pelos alto-falantes para distrair o motorista. Tudo isso sem tocar no carro, a partir de um computador remoto.

O especialista reconheceu que funções consideradas vitais, como acionar os freios ou acessar as câmeras de ré, tinham proteções mais robustas que impediram o controle remoto. Mas a interferência nos faróis, por si só, já representa um risco real. A 30 km/h numa estrada tranquila, o perigo é gerenciável. Na velocidade de uma rodovia ou numa curva fechada, a mesma ação poderia causar um acidente grave.

Microfone, localização e dados pessoais: a parte mais perturbadora

A invasão foi além dos comandos físicos do veículo. Hreszczuk conseguiu ativar o microfone interno da cabine em tempo real e rastrear a localização exata da picape pelo mapa, sem que o motorista percebesse nada.

A partir daí, o experimento tomou um rumo ainda mais preocupante. O especialista gravou o comando de voz padrão do motorista, aquele usado para ativar o assistente do smartphone, e reproduziu o áudio nos alto-falantes do próprio carro. O celular, que estava desbloqueado no console, respondeu ao comando e forneceu informações sensíveis: endereço, data de nascimento e dados que abririam caminho para acessar contas bancárias.

É o tipo de situação que parece roteiro de filme, mas aconteceu numa estrada real, com equipamento disponível no mercado. A demonstração aquece o debate que já existe em outros países sobre a quantidade de dados que os carros modernos coletam, e o que fazem com eles.

No Brasil, a regulamentação ainda engatinha

Na Austrália, onde o teste foi realizado, as montadoras não são obrigadas a seguir nenhum padrão mínimo de cibersegurança para os veículos que comercializam. No Brasil, a situação não é diferente: a BYD Shark e outros modelos conectados chegam às concessionárias sem que exista uma regulamentação nacional específica que defina o que precisa ser protegido, e como.

A Lei Geral de Proteção de Dados (LGPD) cobre o tratamento de informações pessoais de forma ampla, mas não há normas técnicas específicas para veículos conectados no país. Enquanto o debate avança no Congresso e nos órgãos reguladores, o motorista compra um carro equipado com dezenas de sensores, microfones e câmeras sem saber exatamente quais dados são coletados, onde ficam armazenados e quem pode acessá-los.

O que quem trabalha com veículos todo dia recomenda

Na rotina de transferências e documentação de veículos, um detalhe que muita gente ignora é o seguinte: carro conectado precisa ser “desvinculado” antes de mudar de dono, da mesma forma que você faz reset de fábrica em um smartphone antes de vender. Se o vendedor não removeu o perfil dele do sistema de conectividade do veículo, o comprador fica usando o carro com dados do dono anterior, e o dono anterior continua com acesso ao histórico de localização e, dependendo do modelo, a comandos remotos.

Esse passo raramente aparece nos checklists de compra e venda, e os despachantes que formalizam transferências não têm como verificar isso no processo documental. A responsabilidade fica inteiramente com as partes envolvidas na negociação. Se você está comprando ou vendendo um carro conectado, pergunte explicitamente sobre o desvinculamento da conta do aplicativo do fabricante antes de assinar qualquer contrato.

Para quem já tem um veículo desse tipo, vale revisar as permissões do aplicativo da montadora no celular, verificar quais dados são compartilhados e, se possível, desativar funções de conectividade que você não usa no dia a dia. Não é paranoia, é o mesmo cuidado que você já tem com senhas de banco e redes Wi-Fi públicas.

---

Ei, motorista! Se você chegou até aqui, achamos que também vai precisar saber disso:

---

Perguntas frequentes sobre carros conectados e cibersegurança