Setelah Fitur Akses Jarak Jauh Ditemukan di Bus Buatan China, Norwegia Mulai Pemeriksaan Keamanan Siber

• Operator transportasi umum Norwegia Ruter menemukan kartu SIM tersembunyi di bus listrik Yutong dari China, sehingga pemerintah memulai peninjauan keamanan siber
• Dalam pengujian internal, ditemukan kartu SIM Rumania, yang secara teoritis memungkinkan pemasok untuk menghentikan kendaraan dari jarak jauh atau memanipulasi perangkat lunak
• Ruter menyatakan tidak ada bukti penyalahgunaan, tetapi menyebut temuan ini sebagai peralihan dari tahap kecurigaan ke tahap fakta konkret
• Perusahaan telah mencabut kartu SIM tersebut dan memperketat aturan pengadaan, firewall, serta persyaratan keamanan cloud untuk melokalkan kendali operasional
• Dari sekitar 1.300 bus listrik, 850 unit adalah produk Yutong, dan insiden ini menyoroti risiko keamanan dalam rantai pasok teknologi asing

---

Norwegia memulai peninjauan keamanan siber

• Norwegia memulai pemeriksaan keamanan siber tingkat nasional setelah kartu SIM tersembunyi ditemukan di bus listrik Yutong buatan China
  • Bus-bus tersebut dioperasikan oleh operator transportasi publik Ruter, dan kartu SIM ditemukan saat pengujian di fasilitas keamanan internal
  • Kartu SIM itu mengindikasikan adanya kemungkinan akses jarak jauh dan kontrol kendaraan
• Ruter menjelaskan bahwa mereka telah mengonfirmasi kemungkinan teoretis bahwa pemasok dari China dapat menghentikan kendaraan atau campur tangan melalui pembaruan perangkat lunak
  • Namun, tidak ada kasus penyalahgunaan nyata, dan temuan ini disebut sebagai “peralihan dari kecurigaan ke fakta konkret”

Langkah tanggapan Ruter

• Ruter segera menyelesaikan pencabutan kartu SIM dan mulai memperkuat prosedur pengadaan serta sistem keamanan internal
  • Perusahaan bertujuan memastikan kendali lokal atas seluruh operasi transportasi dengan memperketat firewall internal dan persyaratan keamanan cloud
• Perusahaan juga sedang meninjau kembali syarat tender dan kontrak ke depan untuk memperkuat keamanan rantai pasok

Respons pemerintah dan arah kebijakan

• Menteri Perhubungan Norwegia Jon-Ivar Nygård, dalam wawancara dengan penyiar nasional NRK,
  menyatakan bahwa penilaian risiko terhadap pemasok dari negara di luar aliansi keamanan Norwegia sedang berlangsung
  • Ia menekankan perlunya melindungi infrastruktur kritis
• Pemerintah menjadikan insiden ini sebagai momentum untuk meninjau ulang standar keamanan digital sistem transportasi publik

Status operasional bus listrik dan penilaian risiko

• Di Norwegia, sekitar 1.300 bus listrik sedang beroperasi, dan sekitar 850 unit di antaranya adalah produk Yutong
  • Sekitar 300 unit beroperasi hanya di wilayah Oslo dan Akershus
• Ruter menilai kemungkinan upaya interferensi nyata rendah,
  tetapi menyebut insiden ini menunjukkan meningkatnya risiko keamanan siber yang terkait dengan pemasok teknologi asing

Konteks internasional

• Seiring dengan meluasnya adopsi bus listrik buatan China secara global, khususnya ekspansi di pasar Asia Tenggara,
  insiden ini memunculkan kekhawatiran tentang ketergantungan digital dan kerentanan strategis dalam sistem transportasi publik
• CEO Ruter Bernt Reitan Jenssen mengatakan, “Kemungkinan bus-bus ini disalahgunakan memang rendah, tetapi risikonya harus ditangani dengan serius”

Tidak ada informasi tambahan dalam artikel asli

[GN⁺]

Komentar Hacker News

• Saya bekerja di bidang keselamatan perkeretaapian. Beberapa tahun lalu, dua perusahaan kereta api besar non-Tiongkok mencoba merger, dengan tujuan bersaing melawan BUMN Tiongkok dan mengurangi risiko peretasan siber pada perkeretaapian Barat
  Namun, seorang pejabat UE menolaknya dengan alasan anti-monopoli, sehingga rencana itu gagal. Setelah itu ada beberapa upaya penyesuaian, tetapi pada akhirnya tetap tidak diizinkan
  Akibatnya, CRCC dari Tiongkok terus memenangkan kontrak di luar negeri. Ada kecurigaan bahwa mereka sengaja menawarkan kontrak murah sambil menanggung rugi demi mencuri kekayaan intelektual. Dalam situasi seperti ini, menguasai jaringan kereta api juga punya arti strategis besar secara militer
  Artikel ini memang tentang bus, tetapi jelas ada kemiripan dengan perkeretaapian

  • Sekitar setahun lalu, sebuah pemasok peralatan kereta api di Polandia mengajukan gugatan soal jailbreak perangkat lunak lokomotif. Alasannya, pihak ketiga memungkinkan pemeliharaan secara tidak resmi.
    Teknologi pengawasan di dalam produk belum tentu untuk perang, tapi tetap saja bukan hal baik
  • Sekalipun merger di Eropa jadi terlaksana, ukurannya tetap 10 kali lebih kecil daripada perusahaan Tiongkok, dan di dalam Eropa nyaris akan menjadi monopoli. Saya rasa keputusan untuk menghentikan merger itu tidak sepenuhnya salah
  • Barat terlalu lunak terhadap birokrat seperti ini. Tiongkok secara terang-terangan melanggar aturan WTO sambil menjalankan perusahaan yang didukung negara, tetapi orang-orang yang membuat keputusan seperti ini justru melemahkan respons Barat
  • Pada dasarnya saya mempertanyakan kenapa 'perusahaan kereta api swasta' harus ada
  • Dalam perang, logistik adalah kunci, jadi pentingnya pengendalian kereta api secara strategis tidak bisa diremehkan. Logika ini berlaku sama untuk drone maupun mobil

• Saya penasaran apakah perusahaan Tiongkok itu yang memasang kartu SIM Rumania di bus, atau importir yang memasangnya.
  Saya juga bertanya-tanya apakah ini koneksi untuk fungsi manajemen kendaraan, atau benar-benar komunikasi rahasia.
  Lagi pula saya tidak paham kenapa orang ingin membeli bus yang tidak bisa dipantau dari jarak jauh. Itu justru fitur yang berguna dalam transportasi publik

  • Fungsi manajemen kendaraan yang dimaksud memang terdokumentasi, dan bisa dinonaktifkan dengan mudah
  • Ini tercium seperti sekadar propaganda anti-Tiongkok dari Barat. Sepertinya ada arahan dari atas untuk meningkatkan tekanan terhadap Tiongkok.
    Terlihat sebagai bagian dari rekayasa sosial untuk menciptakan suasana ketakutan agar pemerintah daerah menghindari produk Tiongkok
  • Kalau Tiongkok benar-benar ingin menyembunyikan sesuatu, mereka pasti akan memakai eSIM tanpa penanda.
    Kemungkinan besar paket SIM Rumania dipilih karena bekerja baik di seluruh EEA.
    Ini contoh FUD (ketakutan, ketidakpastian, dan keraguan) yang dibesar-besarkan, tetapi tetap saja fakta bahwa setengah armada berasal dari Tiongkok seharusnya membuat orang lebih berhati-hati

• Sangat disayangkan Norwegia membeli bus dari Tiongkok yang berjarak ribuan km, padahal di sebelahnya ada negara pembuat bus Scania dan Volvo.
  Belakangan ini tampaknya penghematan biaya menentukan segalanya. Padahal untuk infrastruktur nasional, keamanan dan kendali jauh lebih penting

  • Yang lebih menyedihkan, bahkan Swedia pun mengganti merek domestiknya dengan bus BYD
  • Saya kaget mendengar Volvo membuat bus di Swedia. Tetapi karena 78% sahamnya dimiliki pihak Tiongkok, pada praktiknya itu perusahaan Tiongkok juga
  • Tiongkok setidaknya 10 tahun lebih maju daripada Scania/Volvo dalam teknologi bus listrik. Besar kemungkinan saat itu pabrikan Eropa belum punya model yang memadai
  • Tide di Norwegia berencana mulai memakai bus listrik Scania pada musim panas tahun depan
    Siaran pers terkait
  • Sebenarnya bus Swedia juga memakai kartu SIM. Bedanya adalah siapa yang bisa memakai backdoor itu.
    Tentu saja sekarang hampir tidak mungkin Swedia menyerang Norwegia, tetapi secara historis ini ironi yang menarik

• Dulu ada kasus backdoor kereta Polandia, saya penasaran bagaimana kelanjutannya

  • Masih tertunda di pengadilan. Artikel terkait
  • Membiarkan penipuan konsumen oleh perusahaan domestik sambil hanya mempermasalahkan pengaruh asing itu munafik
  • Toh tujuannya memang menyebarkan berita untuk menakut-nakuti

• Saya agak heran Norwegia memilih merek ini. Kalau dinaiki rasanya seperti duduk di dalam boiler

  • Tapi kalau suhu rata-rata musim panas Norwegia sekitar 18 derajat, mungkin rasa panas seperti itu bukan masalah besar

• Jika kunci pembaruan jarak jauh bocor, ratusan ribu kendaraan bisa dibuat jadi bata.
  Menyimpan sistem seperti itu benar-benar menakutkan

  • Yang lebih menakutkan daripada sekadar membikin kendaraan jadi bata adalah baterai yang terlalu panas. Bayangkan seluruh armada kota terbakar bersamaan

• Kalau sebuah negara benar-benar ingin menyembunyikan fitur kendali untuk spionase, mereka pasti tidak akan memakai metode komunikasi yang mudah terekspos seperti eSIM.
  Ini cuma bagian dari fitur diagnostik jarak jauh IoT yang sudah didorong pabrikan selama bertahun-tahun
  Sebaliknya, Barat membesar-besarkan hal seperti ini seolah ancaman baru dan memberinya framing perang dagang
  Seperti pada kasus drone DJI, regulator mewajibkan fitur tertentu lalu belakangan justru mempermasalahkannya
  Tautan terkait

• Kalau itu eSIM, apakah akan jauh lebih sulit dideteksi atau dilepas?
  Sebagai referensi, baru-baru ini bus listrik BYD juga mulai dipakai di Swedia

  • Artikelnya tidak menjelaskan metode deteksi secara rinci, tetapi tampaknya mereka menemukan slot SIM atau kartunya secara langsung.
    Kalau mereka melakukan uji ruang penahan gelombang (Faraday cage), ada atau tidaknya eSIM tidak akan berpengaruh.
    Jadi menurut saya, baik eSIM maupun bukan, tidak akan ada banyak perbedaan

• Menurut saya ini kontroversi yang dibesar-besarkan.
  Fitur akses jarak jauh ini kalau ada di produk negara lain mungkin hanya akan disebut fitur pembaruan perangkat lunak
  Tiongkok menonaktifkan bus? Itu tindakan yang terlalu tidak realistis dan tidak ada gunanya
  Faktanya, sebagian besar perangkat elektronik punya fitur pembaruan otomatis, dan secara teori perusahaan AS juga bisa mengendalikannya dari jarak jauh.
  Dalam hal itu, justru risiko nyatanya ada di tempat lain

• Kalau bus punya fitur seperti ini, jadi khawatir apa yang tersembunyi di MacBook atau smartphone.
  Apa Apple benar-benar bisa dipercaya?

  • Yang lebih saya khawatirkan adalah periferal PC murah, router, dan perangkat smart home.
    Bahkan inverter tenaga surya pun terhubung ke internet, jadi bisa disalahgunakan dari jarak jauh saat perang
  • Contoh terkaitnya ada pada kontroversi chip mata-mata Supermicro dan
    kasus backdoor firmware Gigabyte
  • Tidak mungkin Apple tidak tahu. Itu salah satu perusahaan yang paling diawasi di dunia, jadi banyak orang mati-matian mencari kesalahan mereka
  • Dan jangan lupa juga Cloud Act milik AS
  • TSMC mungkin bisa terlibat, tetapi keamanan hardware Apple sangat kuat.
    Semua data di luar SoC dienkripsi.
    Risiko yang benar-benar berbahaya bukan Apple atau Google, melainkan periferal yang diproduksi di Tiongkok