汽車充電樁網絡安全威脅加劇，API安全成行業關鍵挑戰
責編：gltian ｜2025-02-25 17:06:30近日，2025年Pwn2Own汽車黑客競賽中，特斯拉的Wall Connector電動汽車充電樁被成功攻破兩次，其他多個品牌的充電樁和車載信息娛樂系統也未能幸免。這一事件再次凸顯了汽車充電樁作為物聯網設備所面臨的嚴峻網絡安全挑戰。
隨著電動汽車的普及，充電樁已成為黑客攻擊的新目標。攻擊者可以通過多種手段利用充電樁的漏洞，例如通過API授權漏洞劫持賬戶、推送惡意固件更新，甚至利用協議漏洞發動DDoS攻擊。此外，充電樁的通信協議（如OCPP）也存在漏洞，可能被用于竊取敏感信息或發起攻擊。
Akamai大中華區解決方案技術經理馬俊
Akamai資深解決方案技術經理馬俊表示：“IoT設備特別容易受到硬件和軟件漏洞的影響，而許多傳統的OT系統在設計時并未考慮到聯網的安全需求。在這種情況下，在網絡訪問控制中應用‘零信任’模型對如此關鍵的充電網絡來說尤為重要。它能夠確保只有經過驗證和授權的設備才能訪問網絡資源，同時實現對所有連接OT設備的實時監控與識別。通過實施細粒度的分段控制，我們不僅可以有效限制設備之間的通信，還能持續監測網絡流量，從而保護關鍵基礎設施并滿足合規性要求。這樣能夠顯著提升OT設備的網絡安全性，降低了潛在風險，并確保了業務的連續性?！?/p>
不僅是EV充電站，整個汽車行業的API安全問題同樣令人擔憂。隨著聯網汽車和軟件定義系統的快速發展，API已成為推動汽車行業創新的核心動力。然而，這種技術進步也伴隨著巨大的安全風險。2023年，研究人員發現16家主要汽車制造商的API漏洞，攻擊者可以通過這些漏洞接管用戶賬戶、追蹤車輛位置，甚至發送惡意指令。2024年，一家韓國汽車制造商則因API身份驗證缺陷暴露了數百萬輛汽車，允許攻擊者通過車牌信息遠程解鎖車門、啟動引擎并追蹤車輛。
Akamai亞太地區和日本安全技術總監Reuben Koh
Akamai亞太地區和日本安全技術總監Reuben Koh表示：“這些事件不僅揭示了API安全的薄弱環節，還暴露了開發階段測試不足、身份驗證機制薄弱以及API管理不完善等系統性問題。隨著API在汽車行業中的應用不斷擴大，其安全性已經從技術問題轉變為關系到用戶隱私、生命安全和企業品牌聲譽的核心挑戰?！?/p>
Reuben強調：“與此同時，我們也看到了API在推動行業創新中的關鍵作用。例如，它為自動駕駛汽車的自主AI系統提供支持，幫助其實現感知、認知、學習和行動功能。然而，正是這種創新的快速發展擴大了攻擊面，使得安全性的重要性前所未有地提高。因此，汽車制造商必須立即行動起來，系統性地提升API的開發、測試和管理水平，確保技術進步不會以犧牲用戶安全為代價。只有在創新與安全之間找到平衡，才能既保障用戶安全，又推動行業的可持續發展?！?/p>
Akamai的《亞太地區及日本概況》報告顯示，亞太地區在2023年是制造業領域API攻擊的主要目標，占全年API攻擊總量的近三分之一（31.2%）。研究人員還發現，2023年有近20家汽車制造商和服務提供商存在API安全漏洞，這些漏洞使黑客能夠遠程解鎖和啟動車輛、追蹤車輛位置，并竊取車主的個人信息。此外，一些EV充電站平臺被發現存在API授權問題，使得賬戶被接管并遠程控制所有充電站。黑客可以劫持用戶賬戶、中斷充電服務，甚至將充電站編程為“后門”，從而攻破用戶的家庭網絡。
API安全對于EV充電站和整個汽車行業至關重要。保護API安全需要多方面的措施，Reuben建議企業可以重點關注以下三個關鍵領域：可見性，確保全面了解所有API，包括其用途、端點和潛在風險，定期審計和監控API活動，避免將遺留或未監控的接口暴露給公眾；漏洞管理，遵循安全開發實踐，定期進行漏洞掃描和代碼審查，并及時修補已知漏洞，最小化攻擊面是防止漏洞被利用的關鍵；業務邏輯保護，建立明確的業務邏輯基線，監控異常行為，并防止針對業務邏輯的復雜攻擊，以保護關鍵數據和功能。
馬俊表示：“通過收購Noname，Akamai開發了一套全面的API安全解決方案，使企業能夠全面了解API活動，覆蓋外部API、內部API、第三方合作伙伴API以及調用第三方服務的API。此外，企業在代碼上線前應加強‘主動測試’，特別是針對新發布的API。Akamai能夠幫助企業通過實時識別和阻止異常行為，提供自動化和‘左移’安全測試，自動運行150多項可模擬惡意流量的動態測試，包括針對OWASP十大API安全風險的測試，有效減輕API濫用和風險，幫助企業提升API的安全態勢。這一解決方案不僅提升了API的安全性和可靠性，還支持電子商務、金融、游戲等多個行業的應用?！?/p>
為應對充電樁網絡安全威脅，相關行業標準和法規正在逐步完善。2023年10月，國家能源局批準發布了《電動汽車充電設施及運營平臺信息安全技術規范》（NB/T 11302—2023），明確了充電樁運營平臺的網絡安全防護架構，提出了涵蓋操作系統、基礎軟件、應用軟件和網絡安全設備的技術要求。該標準的實施旨在凝聚行業共識，推動電動汽車充電設施的網絡安全發展。
盡管行業標準和技術手段在不斷進步，但充電樁網絡安全仍面臨諸多挑戰。隨著新能源汽車的快速發展，充電樁的網絡安全問題不僅關系到用戶隱私和財產安全，還可能影響電網的穩定運行。因此，政府、企業和用戶需要共同努力，加強監管、提升技術、提高安全意識，以確保電動汽車充電網絡的安全和可持續發展。