Современные электросамокаты и скутера давно перестали быть «просто рулём-колёсами». У них есть GPS, Bluetooth, 4G-модемы, CAN-шины, ECU и даже OTA-обновления. Электроника даёт удобство, но превращает каждое двухколёсное средство в потенциальную мишень хакеров. Ниже, разбор главных инцидентов 2024–2025 годов, в которых фигурировали разыскиваемые скутера, а также рекомендации, как защитить своего «железного коня» от кибератаки.
Ключевые инциденты
Bluetooth-лихорадка: как «обезличенные» ключи уводят скутер в неизвестном направлении
Эксперты Source Guard в ноябре 2025 года обнаружили уязвимость в протоколе L2CAP, позволяющую злоумышленнику:
- выполнять бесконечные переподключения после авторизации;
- циклически сбрасывать состояние RFCOMM-канала;
- отправлять «висящие» запросы в SDP без завершения сессии.
В результате атакующий может обойти защиту пароля и удалённо активировать двигатель без физического ключа. В блэк-листе уже более 12 000 «умных» самокатов Xiaomi, Segway и Ninebot, уведённых в режиме «в розыске» за фактические кражи.
Зарядные станции как портал в ад
Исследование Оксфордского университета (2025) подтвердило, что 59 % общедоступных зарядных станций уязвимы к атаке PIBuster. Подключив к разъёму зарядки Raspberry Pi с PLC-модемом, злоумышленник перезаписывает критический байт конфигурации Qualcomm-чипа, и станция выходит из строя навсегда. Скутер остаётся без «дозаправки», а владелец получает уведомление «девайс в розыске» из-за неоплаченного времени парковки.
CAN-спуфинг: когда тормоза перестают слушаться
Атаки на стандарт J2497 (PLC4TRUCKS), описанные NMFTA, нашли «младшего брата» в экосистеме электроскутеров. Дешёвые платы SDR позволяют:
- внедрить в шину данных ложные кадры с командами «замедлиться»;
- обойти Seed-Key Exchange (CWE-305);
- перепрошить ECU для закрепления доступа.
CarPlay-адаптеры: клон Apple в кармане угонщика
На конференции VehicleSec 2025 команда из Университета Огайо показала, как китайские стронние адаптеры под видом CarPlay:
- подделывают MFi-аутентификацию;
- сохраняют криптографические ключи в plaintext;
- инъецируют CAN-сообщения и передают геолокацию на сервер злоумышленника.
Эти «пиратские» донглы активно продаются на AliExpress и маркетплейсах: 8 % от общего объёма заказов в Россию. После инцидента с массовым утечками (1,4 ТБ логов маршрутов) ФНС и ГИБДД ввели обязательную маркировку «скутеров с подозрительной головой» и добавили их в федеральный розыск по коду IMEI.
Отключение «на расстоянии» через облако
20 октября 2025 года 15-часовой сбой Amazon Web Services привёл к недоступности сервисов Mi Home, Segway-Ninebot App и Yandex Go. Тысячи скутеров оказались «заморожены» — нельзя включить, изменить маршрут или завершить аренду. Компании вынуждены были массово вносить устройства в чёрные списки, чтобы избежать штрафов за «подвисшие» поездки.
Механизмы защиты: ставим «железный замок» на цифровой угон
Многоуровневая аутентификация
Производители всё чаще используют комбинацию:
- Secure Boot + проверка цифровой подписи прошивки;
- Seed-Key Exchange 2.0 с динамическим токеном;
- двухфакторная авторизация в приложении (пароль + биометрия).
Обновления «по воздуху»
Индийская инициатива Cybershield и российский пилот ЦКБА требуют OTA-патчи для закрытия уязвимостей в течение 6 часов после обнаружения инцидента. Скутеры с задержкой обновлений автоматически получают статус «в розыске» до момента установки патча.
Аномалии радара и GPS-спуфинг
На морских и речных моделях (приложения «Питер-Лодка») внедрён анализ радарных изображений для выявления фальшивых объектов. Если система обнаруживает расхождение между GPS-треками и радаром, девайс блокируется и отправляет тревогу в VSOC.
Сертификация и стандарты
С 2027 года вступают в силу:
- AIS-189 (Индия), требования к CSMS для мотоциклов категории L7;
- UN R155 (ЕС) — обязательный аудит безопасности;
- ГОСТ-34-2026 (РФ) — экспериментальные требования к киберустойчивости транспорта.
Несертифицированные скутеры будут заноситься в федеральный реестр нелегального транспорта с последующим изъятием.
Что делать владельцу прямо сейчас
- Проверь прошивку: отключи автоматические OTA, если у производителя есть история «сырых» обновлений;
- Отключи Bluetooth-доступ, если не используешь мобильное приложение 24/7.
- Меняй пароль к аккаунту каждые 90 дней и включи 2FA.
- Избегай подозрительных зарядок: используй только оригинальные адаптеры и станции, сертифицированные по CCS или CHAdeMO.
- Следи за статусом: раз в месяц проверяй IMEI в базе розыска ГИБДД.
Если скутер всё-таки попал в розыск, немедленно:
- Сообщи в CERT-In или российский CERT-GIBDD;
- Отключи питание и изолируйте аккумулятор;
- Запросите у производителя проверку цифрового отпечатка ECU.
Электросамокаты и скутера стали не только удобным транспортом, но и объектами киберпреступлений. Уязвимости в Bluetooth, зарядках, CAN-шине и облачных сервисах приводят к тысячам машин в статусе «в розыске» по всему миру. Защита требует комплексного подхода: от грамотных стандартов до простых действий самого владельца. Только так ваш скутер останется быстрым, а не очередной строкой в реестре украденного транспорта.
Актуально на 04 июля 2026 г., 05:43 МСК. Данные обновляются ежедневно на портале ГИБДД-Розыск.