Badacze wjechali elektrycznym SUV-em NIO ES8 głęboko do norweskiej podziemnej kopalni, aby odciąć samochód od zewnętrznych połączeń. Auto nadal próbowało łączyć się z serwerami, z których większość znajdowała się w Chinach.
Odkrycie jest częścią Project Lion Cage, wieloletniego projektu badawczego rozpoczętego w 2022 roku przez Tora Indstøya, zajmującego się zarządzaniem ryzykiem i analizą zagrożeń w koncernie Telenor Group. Indstøy kupił NIO ES8 specjalnie na potrzeby badań.
Projekt jest realizowany w czasie, gdy chińskie marki samochodów elektrycznych coraz mocniej wchodzą na europejskie rynki, zapewniając klientów, że dane są przetwarzane lokalnie. Zaobserwowane zachowanie sieciowe samochodu wydaje się podważać te zapewnienia.
90 proc. ruchu trafiało do Chin
Połączenia samochodu pozwoliły badaczom ustalić, dokąd trafiały dane. Szyfrowanie uniemożliwiło jednak sprawdzenie ich zawartości.
W ciągu około 2,5 roku monitorowania zespół Indstøya ustalił, że około 90 proc. połączeń wychodzących z NIO ES8 kierowanych było do serwerów znajdujących się w Chinach. Pozostała część trafiała do infrastruktury w Niemczech, Stanach Zjednoczonych, Holandii i Szwajcarii.
NIO informowało europejskich klientów, że ich dane są przetwarzane w Europie. Zaobserwowany schemat ruchu sieciowego stawia to zapewnienie pod znakiem zapytania.
Kluczowe jest jednak zastrzeżenie: ruch był szyfrowany. Badacze mogli określić miejsca docelowe oraz ilość przesyłanych danych, ale nie mieli dostępu do treści pakietów. Nie znaleziono dowodów na przesyłanie konkretnych danych osobowych, a przeprowadzone testy nie dowodzą, że NIO przekazuje poufne informacje chińskim władzom.
Autobusy w kopalni, rumuńska karta SIM i teoretyczny wyłącznik
Równoległy test przeprowadzony przez Ruter na autobusach Yutong wykazał, że producent miał dostęp do systemów baterii i zasilania, co w teorii mogłoby pozwolić na unieruchomienie całej floty.
Norweski operator transportu publicznego Ruter przeprowadził osobny test w kopalni, porównując chiński autobus elektryczny Yutong z autobusem holenderskiego producenta VDL. Wyniki obu testów wyraźnie różniły się pod względem łączności. VDL nie miał możliwości zdalnej aktualizacji oprogramowania i nie utrzymywał stałego połączenia zdalnego. Oznaczało to znacznie mniejsze narażenie na zdalną ingerencję.
Norwegian researchers drove a Chinese EV into a mine to cut it off from the world. It still tried to call home.
— UnveiledChina (@Unveiled_ChinaX) September 21, 2026
The project is called Project Lion Cage. Tor Indstøy, a Telenor security executive, monitored his own NIO ES8 SUV for years. About 90% of the connections he logged… https://t.co/E84B4EPM5D pic.twitter.com/CCIAoos0DS
Yutong był wyposażony w rumuńską kartę SIM i został zaprojektowany tak, aby otrzymywać zdalne aktualizacje oprogramowania oraz umożliwiać diagnostykę za pośrednictwem sieci komórkowych. Dostęp producenta obejmował również systemy zarządzania baterią i zasilaniem.
Ruter, powołując się na ustalenia przedstawione przez Associated Press, stwierdził, że „w teorii można by to wykorzystać do oddziaływania na autobus”. W procesie testowania uczestniczyli również doradcy z University of South-Eastern Norway.
Ruter podkreślał jednocześnie, czego testy nie wykazały. Kamery w autobusie Yutong nie były podłączone do internetu i nie mogły być wykorzystywane do zdalnej obserwacji. Nie znaleziono również dowodów na niewłaściwe wykorzystanie systemów.
Po opublikowaniu wyników przez Ruter firma Yutong i dostawcy platform usunęli wskazane luki. Norwegia zaostrzyła następnie wymagania dotyczące cyberbezpieczeństwa przy zakupie pojazdów dla transportu publicznego.
Dwa stanowiska i jedno nierozstrzygnięte pytanie
Zdalna łączność jest standardem we współczesnych samochodach elektrycznych, jednak chińskie przepisy tworzą dodatkowy wymiar problemu, którego same zapewnienia producentów nie są w stanie w pełni rozwiązać.
Argument producentów jest taki, że stała łączność i aktualizacje oprogramowania przez internet nie są rozwiązaniami charakterystycznymi wyłącznie dla chińskich samochodów. Z podobnej architektury korzystają Tesla i inni zachodni producenci aut elektrycznych. Zdalna diagnostyka może poprawiać bezpieczeństwo i ograniczać czas przestojów pojazdów.
Trudniej pominąć jednak kwestię systemową. Chińska ustawa o bezpieczeństwie narodowym i wywiadzie zobowiązuje organizacje podlegające chińskiej jurysdykcji do współpracy z państwowymi służbami wywiadowczymi, jeśli zostaną do tego wezwane. Ten obowiązek prawny nie znika tylko dlatego, że obecne intencje firmy wydają się nieszkodliwe.
Reakcja Norwegii przypomina podejście, które wcześniej pojawiło się w debacie dotyczącej Huaweia i sieci 5G. Podobne obawy miały wpływ na ograniczenia dotyczące wykorzystywania przez instytucje publiczne w Europie usług dużych dostawców chmurowych do przetwarzania wrażliwych danych.
Pytanie nie brzmi więc wyłącznie, czy do niewłaściwego wykorzystania danych dochodzi obecnie. Chodzi również o to, kto w świetle prawa mógłby zostać zmuszony do przekazania strumieni danych lub uzyskania zdalnego dostępu do pojazdów, gdyby zażądały tego władze.
