Pesquisadores da Universidade da Califórnia em San Diego e do Oberlin College demonstraram que um ataque físico a um Boeing 737 pode exigir menos de US$ 100 e cerca de 60 segundos de acesso. O dispositivo, do tamanho de uma moeda, interfere na comunicação entre computadores essenciais da aeronave. A descoberta não significa que aviões estejam sendo tomados em pleno voo, mas expõe uma superfície de ataque menos cinematográfica e mais incômoda: uma porta de manutenção acessível no solo.
Como o dispositivo interfere nos computadores do Boeing 737?
O dispositivo intercepta a comunicação entre o Flight Management Computer e o Multipurpose Control Display Unit, alterando dados sem necessariamente exibir a mudança aos pilotos. O primeiro administra o plano de voo e fornece informações relevantes durante a decolagem; o segundo é usado pela tripulação para controlar essas funções. A demonstração foi descrita em um artigo apresentado no simpósio USENIX Security, em Baltimore. O protótipo recebeu conectividade Wi-Fi, recurso que, em teoria, permitiria controlá-lo remotamente por meio do Wi-Fi de bordo e da internet.
Nos testes relatados, a adulteração poderia mudar o plano de voo enquanto ocultava a alteração na tela dos pilotos. Os pesquisadores descreveram cenários em que o piloto automático desviaria a aeronave para o espaço aéreo de outro país ou simplesmente a tiraria da rota planejada. Também demonstraram manipulações de informações sobre peso, balanceamento e temperatura externa, dados que influenciam a segurança da decolagem. A engenharia necessária não cabe num golpe improvisado, mas a janela de acesso físico é curta o bastante para merecer atenção séria.
Por que uma porta de manutenção acessível importa?
O protótipo pode ser conectado a uma porta de manutenção localizada no compartimento eletrônico sob o nariz do avião, alcançável por uma escotilha externa aberta e sem tranca. Esse espaço é acessado rotineiramente por trabalhadores de manutenção e outras equipes aeroportuárias, o que transforma uma premissa abstrata de segurança numa questão de controle de acesso. Segundo os autores, uma pessoa motivada precisaria de aproximadamente 60 segundos para instalar o equipamento. O problema não é apenas o componente; é a combinação entre acesso previsível, hardware barato e sistemas que confiam naquela comunicação.
O Boeing 737 está entre os aviões comerciais mais utilizados do mundo. A Universidade da Califórnia em San Diego estima que cerca de 8 mil estejam em serviço, e o modelo representa aproximadamente 25% da frota da Delta, 38% da American Airlines, 53% da United Airlines e toda a frota da Southwest Airlines. Esses números ampliam o alcance potencial da discussão, embora não provem que cada aeronave tenha exatamente a mesma configuração vulnerável. A conclusão mais sólida é outra: riscos físicos podem atravessar fronteiras entre fabricantes, modelos e operadores.
O que Boeing e os pesquisadores propõem fazer?
Os pesquisadores avisaram a Boeing sobre os resultados em 2020 e afirmam que continuaram trabalhando com a empresa nos anos seguintes, mas dizem não saber se a vulnerabilidade foi corrigida. Entre as medidas sugeridas estão restringir melhor quem acessa aviões em solo, bloquear a porta vulnerável com epóxi ou removê-la. Não há glamour nessas soluções. Às vezes, a defesa mais eficiente contra uma engenhoca sofisticada é impedir que ela seja conectada, como quem fecha a janela antes de discutir a qualidade da fechadura.
A Boeing informou à Wired que analisou as conclusões e considera suficientes as salvaguardas existentes. Segundo a empresa, camadas de proteção no projeto do avião e no ambiente operacional reduzem significativamente a viabilidade e o risco de ataques no mundo real. Os próprios pesquisadores reconhecem que a ação exigiria planejamento e conhecimento técnico consideráveis, além de observarem que um piloto atento poderia recuperar-se da maioria dos ataques testados. Isso reduz o risco prático, mas não elimina a pergunta central: quanto acesso físico um sistema crítico deve tolerar?
A pesquisa não descreve uma tomada remota simples nem demonstra que passageiros estejam diante de uma ameaça imediata. Ela mostra, com precisão desconfortável, que a segurança de um avião depende também de conectores, escotilhas, rotinas de solo e pressupostos sobre quem pode tocar no equipamento. A aviação costuma ser associada a redes, satélites e software; aqui, o ponto de entrada é uma pequena peça instalada por alguém próximo à aeronave. O detalhe parece banal até lembrar que sistemas complexos raramente falham pela porta principal. O debate agora é decidir quais portas ainda precisam existir.
