Atak na kolej dużych prędkości na Tajwanie ujawnił krytyczne luki w zabezpieczeniach TETRA

Wprowadzenie do problemu / definicja

Incydent dotyczący tajwańskiej kolei dużych prędkości pokazuje, że cyberbezpieczeństwo infrastruktury krytycznej nie kończy się na systemach IT i aplikacjach biurowych. Równie ważne są systemy łączności radiowej oraz rozwiązania operacyjne wykorzystywane do sterowania ruchem i obsługi procedur bezpieczeństwa. W tym przypadku atak miał dotyczyć standardu TETRA, czyli profesjonalnej łączności radiowej stosowanej w środowiskach o znaczeniu krytycznym.

Według opisu zdarzenia atakujący wykorzystał słabo zabezpieczone mechanizmy komunikacji do wygenerowania alarmu awaryjnego, co doprowadziło do zatrzymania pociągów. To przykład, jak funkcje projektowane z myślą o bezpieczeństwie mogą zostać użyte jako narzędzie zakłócenia działania usług publicznych.

W skrócie

• 23-letni student miał przechwycić i przeanalizować parametry sygnałów używanych w sieci radiowej operatora kolei dużych prędkości na Tajwanie.
• Do odtworzenia komunikacji wykorzystano ogólnodostępny sprzęt radiowy oraz narzędzia SDR.
• Napastnik miał wysłać komunikat o najwyższym priorytecie, uruchamiając procedurę awaryjnego zatrzymania.
• Zakłócenie objęło cztery pociągi i trwało łącznie około 48 minut.
• Sprawa ujawniła problem wieloletniego braku rotacji parametrów bezpieczeństwa w systemie TETRA.

Kontekst / historia

Systemy TETRA są od lat szeroko wykorzystywane w transporcie, służbach ratunkowych, energetyce i innych sektorach infrastruktury krytycznej. Ich zaletą jest niezawodna komunikacja głosowa i danych, priorytetyzacja ruchu oraz zdolność działania w środowiskach wymagających wysokiej dostępności. Problem pojawia się wtedy, gdy takie wdrożenia działają przez wiele lat bez istotnej modernizacji architektury bezpieczeństwa.

W opisywanym przypadku szczególne znaczenie ma informacja, że część parametrów bezpieczeństwa używanych w systemie miała nie być zmieniana przez około 19 lat. Taki stan znacząco obniża odporność operacyjną, ponieważ brak rotacji kluczy, odświeżania konfiguracji i ciągłego testowania zabezpieczeń zwiększa ryzyko emulacji urządzeń, podszywania się pod legalne terminale oraz nadużycia funkcji alarmowych.

Incydent wpisuje się także w szerszy trend obniżania progu wejścia dla analizy i odtwarzania komunikacji radiowej. Narzędzia SDR oraz komercyjnie dostępny sprzęt radiowy są dziś relatywnie tanie i łatwo osiągalne, co zwiększa ryzyko ataków na starsze środowiska OT i systemy cyber-fizyczne.

Analiza techniczna

Z technicznego punktu widzenia zdarzenie nosi cechy spoofingu sygnału oraz nadużycia zaufania do komunikatów sterujących w sieci radiowej. Sprawca miał najpierw przechwycić transmisje używane przez system kolejowy przy pomocy odbiornika SDR, a następnie przeanalizować parametry transmisji potrzebne do odtworzenia legalnie wyglądającej komunikacji.

Kolejnym etapem było zaprogramowanie urządzeń nadawczych tak, aby emulowały autoryzowane terminale lub beacony działające w środowisku operatora. To sugeruje, że infrastruktura nie wymuszała wystarczająco silnego i dynamicznego uwierzytelniania urządzeń albo nie potrafiła skutecznie odróżnić legalnego terminala od sklonowanego nadajnika z poprawnie odtworzonym zestawem parametrów.

Najważniejszym elementem incydentu było wysłanie komunikatu typu General Alarm, czyli sygnału o najwyższym priorytecie operacyjnym. W systemach kolejowych taki komunikat musi być traktowany jako potencjalne zagrożenie życia lub zdrowia, dlatego reakcja następuje natychmiast. Efektem było uruchomienie procedur awaryjnych i zatrzymanie czterech pociągów.

Przypadek ten pokazuje klasyczny problem projektowy w systemach cyber-fizycznych. Jeżeli komunikat bezpieczeństwa ma najwyższy priorytet, ale jego źródło nie jest silnie uwierzytelniane i stale weryfikowane, mechanizm ochronny może zostać przekształcony w wektor sabotażu. Funkcja mająca chronić pasażerów i operacje kolejowe staje się wówczas narzędziem zakłócenia pracy infrastruktury.

Warto zwrócić uwagę również na obszar detekcji. Operator miał ustalić, że alarm nie odpowiadał żadnemu przypisanemu urządzeniu radiowemu, a następnie powiązać logi sieci radiowej z zapisami monitoringu. Oznacza to, że organizacja posiadała częściową zdolność wykrywania incydentu po fakcie, ale nie dysponowała wystarczająco silnymi kontrolami prewencyjnymi.

Konsekwencje / ryzyko

Bezpośrednie skutki operacyjne obejmowały zatrzymanie czterech pociągów, zakłócenie ruchu przez blisko godzinę oraz opóźnienia dla pasażerów. Z perspektywy cyberbezpieczeństwa jeszcze ważniejsze są jednak konsekwencje systemowe.

Po pierwsze, incydent potwierdza, że infrastruktura krytyczna może zostać zakłócona z użyciem relatywnie taniego i powszechnie dostępnego sprzętu. Po drugie, pokazuje ryzyko wynikające z przenikania się środowisk IT, OT i RF, w których bezpieczeństwo warstwy radiowej bywa rozwijane wolniej niż ochrona sieci IP.

Po trzecie, istnieje realne ryzyko eskalacji podobnych działań. Jeżeli pojedyncza osoba była w stanie wywołać zakłócenie o ograniczonym zasięgu, bardziej zaawansowany przeciwnik mógłby próbować ataków skoordynowanych, powtarzalnych lub obejmujących wiele punktów infrastruktury jednocześnie. Nawet bez katastrofalnego skutku powtarzające się fałszywe alarmy mogą prowadzić do paraliżu operacyjnego, strat finansowych i utraty zaufania społecznego.

Incydent ma także wymiar strategiczny. Transport publiczny stanowi element infrastruktury krytycznej państwa, dlatego podatności wpływające na sterowanie, łączność i procedury bezpieczeństwa powinny być traktowane jako zagrożenie o znaczeniu krajowym, a nie wyłącznie jako odosobniony problem techniczny.

Rekomendacje

Operatorzy transportu oraz inne podmioty zarządzające infrastrukturą krytyczną powinni potraktować ten przypadek jako sygnał alarmowy i przeprowadzić pilny przegląd bezpieczeństwa systemów radiowych oraz ich integracji z systemami operacyjnymi.

• Wdrożyć regularną rotację kluczy kryptograficznych, identyfikatorów i parametrów konfiguracyjnych używanych przez urządzenia radiowe.
• Wzmocnić uwierzytelnianie urządzeń oraz komunikatów o wysokim priorytecie, szczególnie tych, które mogą uruchamiać procedury zatrzymania lub alarmu.
• Rozbudować monitoring warstwy RF, aby wykrywać nieautoryzowane emisje, klonowanie identyfikatorów i anomalie transmisyjne.
• Prowadzić testy bezpieczeństwa z perspektywy przeciwnika, obejmujące scenariusze z użyciem SDR, spoofingu, replay oraz emulacji urządzeń.
• Przeanalizować logikę fail-safe pod kątem odporności na nadużycie i ograniczyć możliwość wywoływania fałszywych alarmów przez nieautoryzowane źródła.
• Przygotować wspólne playbooki reagowania dla zespołów technicznych, SOC, OT oraz operatorów ruchu.

Podsumowanie

Atak na tajwańską kolej dużych prędkości jest mocnym przypomnieniem, że bezpieczeństwo infrastruktury krytycznej obejmuje nie tylko systemy IT, ale również łączność radiową, komponenty OT oraz procedury bezpieczeństwa operacyjnego. W tym przypadku problem nie wynikał wyłącznie z samej technologii TETRA, lecz z przewidywalnych zaniedbań w obszarze zarządzania kluczami, uwierzytelniania urządzeń i monitoringu warstwy radiowej.

Dla operatorów transportu, energetyki i służb publicznych najważniejsza lekcja jest jasna: systemy RF i OT muszą być objęte takim samym rygorem bezpieczeństwa jak sieci IT. W przeciwnym razie nawet wyspecjalizowane mechanizmy ochronne mogą stać się słabym ogniwem całej infrastruktury.

Źródła

1. Security Affairs — https://securityaffairs.com/191785/hacking/taiwan-high-speed-rail-emergency-braking-hack-how-a-student-stopped-the-trains-and-exposed-a-major-security-gap.html
2. Taipei Times, Student who allegedly disrupted rail network on bail — https://www.taipeitimes.com/News/taiwan/archives/2026/05/01/2003856571
3. Taipei Times, Student’s hack prompts THSRC review — https://www.taipeitimes.com/News/taiwan/archives/2026/05/05/2003856781
4. BleepingComputer, Student hacked Taiwan high-speed rail to trigger emergency brakes — https://www.bleepingcomputer.com/news/security/student-hacked-taiwan-high-speed-rail-to-trigger-emergency-brakes/
5. RTL-SDR, Student Arrested in Taiwan for using SDR and Handheld Radios to Halt Four High Speed Trains with TETRA Hack — https://www.rtl-sdr.com/student-arrested-in-taiwan-for-using-sdr-and-handheld-radios-to-halt-four-high-speed-trains-with-tetra-hack/comment-page-1/