מפעילת רכבות פולנית מאשימה את יצרן הרכבות הפולני נוואג (Newag) בשתילת קוד תוכנה סמוי ברכבות שייצר. הקוד גורם לכך שאם המפעיל שולח את הרכבות לתחזוקה במוסכי רכבות מתחרים, קורות להן תקלות מפוברקות והן מושבתות.

הסיפור התחיל בארבע רכבות של חברת Lower Silesian Railways בפולין, שנרכשו מנוואג, הועברו לתחזוקה בחברה מתחרה בשם SPS, וקרו להן בשנים האחרונות תקלות מסתוריות, שחלקן גרמו להשבתתן המוחלטת. המחסור ברכבות תקינות פגע ביכולתה של המפעילה לעמוד במחויבות השירות שלה.

בהתחלה, אנשי SPS לא הצליחו להבין כיצד רכבות שעברו פעולות תחזוקה שגרתיות, לאחר נסועה של מיליון קילומטר, הגיעו לכשלים כאלה. כמוצא אחרון, אנשי SPS חיפשו בגוגל "האקרים פולנים" ומצאו את קבוצת ההאקרים דראגון סקטור, שחברים בה יקוב סטפנייץ, סרגיוש בזנסקי ומיכל קובלסקי.

ההאקרים בחנו לעומק את קוד התוכנה שמפעילה את הרכבת, ולהפתעתם, מצאו שתי מערכות קוד ייחודיות – האחת נועדה להשבית את הרכבת בתנאים מסוימים, למשל, כשהרכבת "מתקשרת הביתה" ליצרן ודיווחי ה-GPS שלה מעידים על שהות ממושכת במוסך מתחרה. המנגנון השני הוא מעקף של ההגבלות, שמאפשר להתניע מחדש את הרכבות אם עברו השבתה. לפי אנשי דראגון סקטור, הם הפעילו את המעקף כדי לאפשר לרכבת להניע מחדש, בלי להשפיע כלל על קוד התוכנה שקשור להפעלת הרכבת לאחר ההתנעה. עוד גילו ההאקרים רכיבים שהחלפתם משביתה את הרכבת, אם מספרה הסידורי לא תואם לזה שרשום בשרתי היצרן.

האתר BadCyber פרסם את הסיפור הפולני לפני כמה שבועות, עם פירוט של הפוליגונים הגיאוגרפיים שהם טריגר להשבתה מרחוק של הרכבת.

לפי אחד המקרים המתוארים, רכבת דיווחה על כשל במדחס ב-21 בנובמבר 2022, אף שכלל לא הייתה בתחזוקה, ובדיקה פיזית הראתה שהמדחס שלה תקין. הרכבת יועדה לתחזוקה בנובמבר 2021, אלא שהקוד השתול לא פעל כמתוכנן, ולכן הודעת שגיאה הופיעה דווקא בנובמבר 2022.

באחת הרכבות, ההאקרים מצאו מתקן פיזי שאחראי באופן ספציפי על שידור מידע "הביתה ליצרן" שכולל נתוני GPS, ואם הרכבת נמצאת בסטטוס של 'נעילה' או 'פעילה'. ברכבת אחרת נמצא קוד שגורם לה 'להישבר' אחרי מיליון קילומטר.

בעקבות המידע של ההאקרים, גם מפעילי רכבות אחרים הצליחו לטפל ב'תקלות' ברכבות שלהם מתוצרת נוואג, באמצעות פריצה לתוכנה ונטרול מנעולי תוכנה של מחשב הרכבת, בפרשה שהחלה להכות גלים בחברות הרכבות במדינה. עדכוני תוכנה של היצרן לא הסירו את המנעולים, אבל הסירו את המעקף המובנה לביטולם.

ג'ייסון קובלר מאתר 404media פנה לנוואג, שסירבה להגיב רשמית. לפי דיווח במגזין תשתיות פולני, בנוואג כועסים מאוד על שינויי הקוד שעשו ההאקרים לרכבות שלהם, והודיעו: "התוכנה שלנו נקייה. לא שתלנו, איננו שותלים ולא נשתול בתוכנה שלנו קוד שיגרום לכשל מכוון. זו השמצה מטעם המתחרים שלנו, שמנהלים מסע יחסי ציבור שלילי נגדנו". עוד אמרה החברה שדיווחה על כך לרשויות המוסמכות, וש"פריצה למערכות התוכנה היא הפרה של חוקים ואיום על בטיחות התחבורה. איננו יודעים מי התערב בתוכנה ובאילו שיטות והסמכות. דיווחנו למשרד התחבורה על כך כדי שהוא יחליט אם להוציא משירות את הרכבות שטיפלו בהן האקרים בלתי ידועים".

ההאקרים הידועים למדי הוציאו בתגובה הצהרה לגבי אופן העבודה המדויק שלהם. הם שמעו שהחברה מתכוונת לתבוע אותם, אך עד כה לא הוגשה כל תביעה. אם תוגש, הם סבורים שהקייס יהיה חלש, ובעיקר יאפשר להם לחשוף בפירוט רב את כל מה שמצאו בקוד התוכנה של היצרן.

לקוחות נוואג טוענים שהחברה נקטה פרקטיקת שיבוש מכוון, שנועדה לפגוע בזכות לתקן, כדי לשמור על נתח השוק שלה בתחום התיקונים ולהעליל על מתחרים ש"אינם מצליחים" לתחזק כראוי רכבות. בינתיים, נוואג גרמה להשבתה מתוכננת שהוסתרה מהלקוחות שהלכו למתחרים.

מנעולי תוכנה: פרקטיקה משבשת שנהפכת לשכיחה

השבתה סודית ואוטומטית של רכבת, במה שנראה כמו טקטיקה עסקית, היא אירוע יוצא דופן, אך השימוש במנעולי תוכנה הוא פרקטיקה שיצרנים בכל העולם עושים בה שימוש הולך וגובר. יצרניות רכב רבות משווקות כלי רכב משוכללים עם תוכנות משופרות בתוספת תשלום. לחברה לא משתלם לייצר רכב בלי היכולות המשופרות, אך הפתרון לגביית תוספת תשלום מהלקוחות הוא מנעול תוכנה – מי שלא משלם על השירות ליצרן, בדרך כלל במתכונת של דמי מנוי, לא זכאי לקבל את השירות, גם אם הרכב נמכר עם כל היכולות מראש. הבולטת בתחום זה היא טסלה, שלפחות מוכרת שדרוגי תוכנה בטקטיקה עסקית גלויה.

חברה נוספת שידועה בשימוש במנעולי התוכנה לרעת לקוחותיה היא ג'ון דיר. היא הצליחה להשבית ציוד חקלאי שנגנב מאוקראינה לצצ'ניה במלחמה הנוכחית, וגם טרקטורים שפלסטינים ניסו לבזוז לרצועת עזה ב-7 באוקטובר. המבקרים מצביעים על חסרונות עצומים בטכנולוגיה הזו, שלדעתם עולים בהרבה על היתרונות: תקלות בלתי מכוונות או תקיפות סייבר על שרתי החברה עלולות להשבית אינספור כלים חקלאיים בכל רחבי העולם, בלי שהחברה יכולה לתת מענה ללקוחות, כי הטרקטור מתוכנת 'להתקשר הביתה' ולקבל אישור לכל התנעה. אפשרויות אחרות הן שינוי תנאי חוזה הרכישה בדיעבד, באמצעות שליטה בתוכנה של הטרקטור; איסוף מידע עצום באמצעות חיישני הטרקטור לשימוש החברה, ולא לטובת היצרנים; ובייחוד בעיה שמתגשמת מדי יום ביומו – חקלאי בשדה מנוע מלתקן בעצמו את הכלי, ומאבד זמן עבודה קריטי בשל הגרירה למוסך ובחזרה, לעתים תוך אובדן התוצרת בשדה.

אפל, למשל, הפכה את הפיצ'ר Find My למנגנון שמשבית מכשירים רבים מתוצרתה. Find My נועד במקור לאתר אייפונים ואייפדים שנגנבו או נאבדו, ולמנוע גישה ממחזיקים בלתי מורשים. בפועל, מיליוני מכשירי אפל מגיעים בכל שנה לחברות מחזור, בלי שמישהו טרח לבטל את ניהולם בענן ה-iCloud של החברה, או לנטרל את תכונת Find My. התוצאה היא לא רק הגנה מפני גניבות, אלא הוצאה של המכשירים הללו לחלוטין ממצב שימושי, מה שמוריד את ערכם באופן דרמטי, מונע שימוש חוזר אקולוגי, ומדרבן את האופציה הגרועה בהרבה מבחינה סביבתית של גריסה ומחזור כחומר גלם. אפל אפילו תבעה עובדי מפעל גריסה שהבריחו בסתר אייפונים שנשלחו לגריסה ומחזור, לאחר שהוכח שהם מכרו אותם לתיקונים ושימוש חוזר בסין. אפל פעלה כחוק, אך הפרשה מטילה צל על מדיניותה, שמתעדפת השמדת מכשירים שהוכח שניתן לעשות בהם שימוש חוזר.

מנעול תוכנה אחר של החברה פוגע בתיקון רכיבים ספציפיים, דוגמת מסכים, סוללות ומצלמות של אייפונים, אם אפל או קבלן מטעמה לא עושים אותם. מנגנון הודעת השגיאה ונטרול יכולות של המכשיר לא מופעל תוך בדיקה שמזהה שמדובר בחלפים לא מקוריים, אלא כשהם לא עוברים 'שידוך' דיגיטלי של אפל. השיטה הזו מונעת מרוב הטכנאים העצמאים לתקן את המכשיר, אפילו אם השיגו בדרך כלשהי חלפים מקוריים, שאפל כלל לא מוכרת.

יש הישגים במאבק למען הזכות לתקן

המאבק הפוליטי בעד הזכות לתקן נועד לחייב יצרנים בחקיקה לאפשר לכל מי שרוצה בכך גישה לכל הדרוש כדי לתקן מכשירים אלקטרוניים באופן חופשי: מדריכי הרכבה, חלפים, תוכנות וכלי עבודה יעודיים. פעילי המאבק פיתחו אסטרטגיה אפקטיבית, שעיקרה התפרשות ליוזמות חקיקה במדינות רבות, שאינן זניחות מבחינה כלכלית, אך המחוקקים בהן נגישים יותר לציבור מאשר חברי הסנאט ובית הנבחרים הפדרלי. ברגע שמדינה אחת מכל ארצות הברית קובעת חקיקה שמחייבת יצרנים לשינוי התנהגות, גובר הסיכוי שהיצרנים יישרו קו עם החקיקה הכי מחמירה גם במדינות אחרות, כדי לא להתמודד עם עשרות רגולציות שונות, שישיתו עליהם עלויות ציות גבוהות וקשיים ארגוניים.

באירופה הדברים פועלים אחרת. שם דווקא להחלטות של האיחוד האירופי יש השפעה, כולל חקיקה שמחייבת להחזיר לשימוש סוללות נשלפות בטלפונים חכמים מ-2027, כדי להקל על התיקון שלהן ועל שימוש ממושך יותר במכשירים עצמם.