PSNM, OSW i Łukasiewicz wydały raport o cyberbezpieczeństwie aut i ładowarek

Polskie Stowarzyszenie Nowej Mobilności razem z Ośrodkiem Studiów Wschodnich, Łukasiewicz PIMOT i Łukasiewicz AI opublikowało raport „Cyberbezpieczeństwo Nowej Mobilności”. Autorzy opisują, którędy da się zaatakować samochód elektryczny, sieć ładowarek i system energetyczny. Przekonują też, że Polska może zarobić na globalnym rynku cyberbezpieczeństwa, który według szacunków przekroczy 300 mld dolarów do 2029 roku.

Nowoczesne auto ma często ponad 200 mln linii kodu i około 100 elektronicznych jednostek sterujących (ECU) połączonych sieciami komunikacyjnymi. Włamywacz nie musi więc stać przy samochodzie, bo wystarczy luka w aplikacji mobilnej albo w API producenta (interfejsie, przez który aplikacja rozmawia z serwerami marki). Przez taką lukę da się zdalnie otworzyć auto, odczytać jego lokalizację albo zmienić ustawienia profilu. W raporcie ENISA z 2026 roku transport odpowiadał za 8% incydentów odnotowanych w UE.

Wyciek danych 800 tys. aut i nagrania z ćwiczeń w Norwegii

Raport przywołuje dwa przypadki. W grudniu 2024 roku wyszło na jaw, że dane telematyczne około 800 tys. elektryków jednego koncernu przez wiele miesięcy leżały w źle skonfigurowanej chmurze, a na ich podstawie dało się ustalić dokładne położenie aut. W październiku 2026 roku w Norwegii chińskie samochody podczas ćwiczeń wojskowych automatycznie i bez zgody rejestrowały aktywność żołnierzy, trasy przejazdów i kody dostępu do chronionych obiektów. Marek w obu sprawach PSNM nie wymienia.

Najbardziej narażona jest według autorów infrastruktura ładowania. W Polsce działa już ponad 14 tys. publicznych punktów, które przyjmują płatności zbliżeniowe, przetwarzają dane klientów i sterują mocą w czasie rzeczywistym. Raport opisuje scenariusz, w którym przestępca przejmuje system zarządzania operatora i wyłącza stacje w całej aglomeracji albo przy głównych korytarzach transportowych, więc stają floty miejskie i logistyczne.

Drugi front to energetyka. 29 grudnia 2025 roku celem cyberataku było co najmniej 30 farm wiatrowych i fotowoltaicznych oraz duża elektrociepłownia w Polsce, a na Ukrainie atak z 2015 roku zostawił bez prądu na kilka godzin około 225 tys. odbiorców.

Żaden z tych incydentów nie dotyczył elektromobilności. Smart charging i V2G (vehicle-to-grid, czyli oddawanie energii z baterii auta do sieci) otwierają jednak nowe drogi do systemu elektroenergetycznego. Kto przejmie sterowanie dużą flotą podłączonych aut, może wywołać skoordynowane skoki poboru i oddawania mocy, groźne dla stabilności sieci.

Aleksander Rajch, członek zarządu PSNM, mówi: „Cyberbezpieczeństwa nie da się sprawdzić raz, przy homologacji. Trzeba je weryfikować przez cały cykl życia pojazdu i ładowarki, po każdej aktualizacji oprogramowania”.

Polska ma ambicje, dostawcy mają luki

Słabym ogniwem są według PSNM mali i średni dostawcy, którym często brakuje zasobów na poważne zarządzanie cyberbezpieczeństwem, choć ich części trafiają do produktów krytycznych dla bezpieczeństwa. Tymczasem produkcja samochodów spalinowych w Polsce spadła z rekordowych 840 tys. w 2008 roku do 101 tys. w 2025 roku, a sektor wciąż daje ponad 220 tys. miejsc pracy, ponad 8% PKB i prawie 33 mld euro eksportu. Dla porównania plan KOMPAS 2035 zakłada milion aut rocznie w 2035 roku. Jako atuty raport wymienia silny przemysł motoryzacyjny, ponad 600 tys. specjalistów IT, zaplecze badawcze i doświadczenie instytucji ze wschodniej flanki UE i NATO, które działają pod stałą presją ataków.

Rekomendacje obejmują krajowe laboratoria i metodyki badania cyberodporności aut i ładowarek, program skalowania polskich technologii cyberbezpieczeństwa, minimalne wymogi w zamówieniach publicznych i zakupach flotowych oraz sektorowe centrum wymiany informacji o zagrożeniach (ISAC). Pełna lista, w tym zalecenia dla nauki i odbiorców usług mobilności, jest w raporcie do pobrania ze strony PSNM. Kto i kiedy miałby te postulaty wdrożyć, raport nie przesądza.