A falha foi identificada pela Ruter, a maior operadora de transportes públicos da Noruega, durante uma auditoria à sua frota do fabricante chinês Yutong.

A investigação concluiu que o fabricante tem acesso digital direto a cada veículo para atualizações de software e diagnósticos remotos, o que cria a possibilidade teórica de imobilizar os autocarros à distância. Embora não haja evidências de atividade maliciosa, a descoberta levou a uma ação imediata, com a Ruter a remover os cartões SIM que permitem essa conectividade.

A vulnerabilidade afeta uma parte significativa da frota, com cerca de 850 dos 1300 autocarros elétricos da Noruega a serem da Yutong.

Pouco depois, a operadora dinamarquesa Movia confirmou vulnerabilidades semelhantes na sua frota.

A Yutong respondeu, afirmando que cumpre todas as leis locais e que os dados da UE são protegidos num centro de dados da Amazon Web Services na Alemanha.

O incidente destaca os riscos geopolíticos e de cibersegurança mais amplos associados a veículos cada vez mais conectados, especialmente em infraestruturas críticas de transporte público.

Bernt Reitan Jenssen, CEO da Ruter, alertou: "Temos uma janela tecnológica limitada para aplicar as medidas de segurança necessárias agora."