O teste de cibersegurança que envolveu uma BYD Shark 6 na Austrália demonstrou riscos reais, mas não equivale a dizer que qualquer pessoa conseguiu assumir o controle completo da picape pela internet. A demonstração reuniu duas cadeias técnicas diferentes: uma ligada à central multimídia e outra dependente de acesso físico à rede eletrônica do veículo.
A distinção é importante para os proprietários brasileiros. A BYD Shark vendida no Brasil corresponde ao modelo chamado Shark 6 na Austrália, mas ainda não há confirmação pública de que as unidades brasileiras utilizem exatamente a mesma compilação de software testada pelos pesquisadores.
O que aconteceu na central multimídia
O primeiro caminho explorado envolveu o Android Debug Bridge (ADB), uma ferramenta normalmente usada por desenvolvedores para depurar equipamentos com Android. Segundo a BYD, uma falha permitiu habilitar o ADB na central e instalar um aplicativo de terceiros não confiável.
O laboratório Fortify Labs esclareceu que precisou de acesso físico à picape para instalar esse software. Depois dessa preparação, porém, os pesquisadores conseguiram operar as funções instaladas remotamente por meio de uma conexão própria, sem usar o chip de comunicação fornecido pela BYD.
Essa etapa permitiu demonstrar acesso ao sistema de entretenimento, reprodução de conteúdos, bloqueio das portas e uso de recursos relacionados ao microfone e à localização. Ainda assim, a própria BYD afirmou que o acesso ao microfone e à localização exigia a aprovação manual de permissões na tela da central. A explicação foi reproduzida pelo Autotalk Australia.
Faróis e limpadores exigiram outra intervenção
O acionamento dos faróis e dos limpadores não ocorreu pela mesma brecha da central multimídia. Nessa parte, os pesquisadores conectaram um Raspberry Pi diretamente ao barramento CAN, a rede interna que permite a troca de mensagens entre módulos eletrônicos do veículo.
O dispositivo simulou uma unidade eletrônica comprometida e enviou mensagens para a rede. Assim, foi possível desligar os faróis e ativar os limpadores durante a demonstração. O procedimento exigiu intervenção física na fiação e ficou limitado ao veículo que recebeu a conexão.
O relatório do laboratório afirma que o chip original de comunicação da picape foi removido e substituído por um hotspot próprio. Portanto, o experimento não mostrou que um invasor distante poderia, sem qualquer preparação, entrar pela internet e enviar comandos diretamente ao CAN de todas as Sharks.
A reportagem do Terra também registrou que o pesquisador não conseguiu acessar sistemas mais críticos, como freios e câmeras. Mesmo assim, a manipulação de iluminação e limpadores representa um risco relevante quando ocorre durante a condução.
O que a atualização OTA deve corrigir
A BYD informou que concluiu a investigação da causa da falha ligada ao ADB e prepara uma atualização OTA, sigla em inglês para atualização distribuída remotamente pela rede. O objetivo anunciado é eliminar o caminho não intencional que permitia habilitar o ADB pela interface da central.
Se a correção funcionar como descrito, ela deverá impedir a repetição da instalação de aplicativos não confiáveis por esse método. Isso reduz o risco de acesso remoto às funções obtidas depois da preparação física inicial.
A atualização, contudo, não representa automaticamente a solução para toda a segurança do barramento CAN. A BYD abriu uma avaliação separada sobre a autenticidade, a integridade e a chamada “frescura” das mensagens CAN. A empresa também citou medidas de autenticação e isolamento físico na interface OBD, usada para diagnóstico.
Como o proprietário brasileiro deve acompanhar
Até o momento, a BYD não divulgou publicamente uma lista de versões brasileiras afetadas, um número específico da compilação vulnerável ou uma data para a liberação da correção no país. Por isso, o proprietário não deve concluir que seu veículo está necessariamente vulnerável — nem presumir que está fora do alcance da atualização.
O manual brasileiro informa que a versão do software pode ser consultada na central em Sistema → Versão → Versão do software. O mesmo documento orienta que atualizações OTA sejam feitas com o veículo parado, conectado à rede e com pelo menos 20% de carga na bateria de tração. A confirmação dessas instruções está disponível no manual do proprietário da BYD Shark.
Na prática, o caminho mais seguro é instalar qualquer aviso oficial de atualização, registrar a versão exibida na central e procurar uma concessionária BYD caso a notificação não apareça. A própria marca já informou, em outro processo de atualização de centrais, que alguns clientes podem precisar de atendimento presencial quando a atualização remota não é disponibilizada.
O que o teste realmente demonstrou
O caso revelou uma falha importante na proteção da central multimídia e mostrou que funções conectadas podem ser exploradas depois de uma preparação física inicial. Também mostrou, em uma demonstração separada, que mensagens podem ser injetadas no CAN quando um invasor consegue acesso direto à fiação.
Portanto, a expressão “Shark controlada à distância” simplifica demais o episódio. A atualização OTA anunciada deve fechar o caminho do ADB, mas ainda faltam informações sobre a abrangência da correção, as versões brasileiras incluídas e o resultado da avaliação independente do CAN. Para o consumidor brasileiro, acompanhar a versão do software e exigir confirmação da BYD é mais importante do que tirar conclusões a partir de manchetes isoladas.