澳洲广播公司（ABC）《四角》（Four Corners）节目近日请来堪培拉网络安全公司Fortify Labs联合创始人赫雷斯丘克（Dan Hreszczuk）对比亚迪Shark 6进行攻击测试，这正是澳洲贸易部长法雷尔（Don Farrell）驾驶的同款比亚迪车型。结果令人震惊，攻击者无需密码，就可能获得车辆的远程访问权限。

测试中，记者坐在车内驾驶Shark 6，赫雷斯丘克则在车外通过电脑远程操作车辆，以测试攻击者能够控制哪些功能。“这比我们预想的要容易。”他说。

赫雷斯丘克发现，自己获得的车辆访问权限甚至没有设置密码。“比亚迪Shark对黑客如此开放，这有点令人害怕。”

在一次测试中，记者驾驶车辆行驶在堪培拉郊外一条狭窄的乡间道路上，车速约为每小时30公里。赫雷斯丘克突然远程关闭车灯，让车内瞬间陷入黑暗。所幸当时道路较为笔直。

他还可以从车外远程锁上车门，通过车内扬声器播放音乐，让中控大屏显示指定图片，并启动雨刷。他甚至可以将雨刷调至最高速度并喷水，同时反复打开和关闭车灯。

虽然他无法控制刹车和摄像头等关键系统，但赫雷斯丘克表示，即使只是远程控制车灯和雨刷，在车辆高速行驶或经过弯道时，也可能严重干扰驾驶者，造成安全风险。

更令人担忧的是，攻击者获得车辆访问权限后，还可能利用车内麦克风窃听谈话。

在另一项测试中，记者驾驶Shark 6在堪培拉市区行驶，并给母亲打电话，讲解如何设置网上银行。这时，赫雷斯丘克在车外远程打开车内麦克风，能够清楚听到车内的谈话。

通话中，记者告诉母亲，他准备暂时使用自己的姓名首字母、房屋门牌号码和完整出生日期作为网上银行密码。

赫雷斯丘克将这段谈话录了下来。随后，他利用录音中记者说过的“Hey Siri”，制作了一段剪辑后的语音指令，再通过汽车扬声器播放给车内的iPhone。

例如，他让剪辑后的声音询问：“Hey Siri，我的家庭住址是什么？”Siri随即作出回答。

通过类似方式，赫雷斯丘克获取了记者的出生日期和年龄，甚至让Siri读出了通讯录中澳洲前总理谭宝的电话号码。
最终，他通过这一系列操作获取了记者的网上银行密码。

赫雷斯丘克表示，这项测试表明，一旦攻击者获得车辆远程访问权限，车内的麦克风和扬声器可能进一步成为获取个人信息的工具。“我根本不需要撬锁，因为比亚迪已经把前门敞开了。”

“我认为，人们为了便利，忽视了很多这类担忧。这是一辆开起来很漂亮的车，内饰也很漂亮，但确实存在真正的安全问题。”赫雷斯丘克表示。

电动汽车和混合动力汽车正在澳洲市场迅速普及，今年已经占新车销量的近三分之一，其中超过一半来自中国品牌。

与此同时，澳洲目前缺乏汽车最低网络安全标准。这意味着比亚迪并没有受到强制要求，必须及时更新车辆软件，或建立专门系统管理汽车网络安全风险。

《四角》节目向比亚迪询问其澳洲隐私政策后，公司仅两天便表示政策已经“经过审查并更新”。原政策曾明确提到“中国”和“监控（surveillance）”，并将中国列为澳洲车主数据可能被发送到的16个国家之一。更新后的政策删除了所有“中国”和“监控”的表述，但仍没有禁止将数据转移到海外，包括中国。新南威尔士大学隐私法专家凯瑟琳·坎普（Katharine Kemp）表示，这暴露出联网汽车数据保护方面令人担忧的问题。她指出，在隐私政策开头写上“尊重客户隐私”，“这不过是些无关痛痒的空话，毫无价值。”

她还表示，“我认为许多隐私政策都存在诸多问题，而比亚迪的政策无疑就是其中的典型例子。”

澳洲隐私监管机构此前已对丰田和现代联网汽车的数据处理方式展开调查。比亚迪也证实，已经正式回应了监管机构此前提出的初步询问。

去年，英国军方禁止中国电动汽车，包括采用中国零部件生产的车辆，在部分高度敏感军事设施3公里范围内停放。不过，澳洲国防部门目前尚未全面禁止中国汽车品牌。