Hackeři „zbastlí“ vysílačku za desítky dolarů a zastaví americký vlak

Za pár desítek dolarů může kdokoli z haly, parku nebo garáže vyslat příkaz k nouzovému zastavení vlaku. Americké dráhy varují – systém FRED je nechráněný a zranitelný.

Americký úřad pro kybernetickou bezpečnost vydal začátkem srpna varování, že protokol používaný v USA pro bezdrátovou komunikaci mezi zadním a předním vozem vlakové soupravy má zásadní slabinu. S vybavením za pár desítek dolarů může kdokoli vydat příkaz k nouzovému zastavení soupravy.

Oslabený FRED nahrává lupičům i teroristům

Americká nákladní železnice používá už desítky let standardní bezdrátový systém EoT/HoT (End-of-Train / Head-of-Train), známý i pod obchodním názvem FRED. Slouží k přenosu jednoduchých stavových informací a nouzových brzdových příkazů mezi lokomotivou a koncem vlaku. Signál není nijak šifrován ani autentizován – obsahuje jen kontrolní součet. To znamená, že kdokoli se softwarově definovanou vysílačkou, která se dá za pár desítek dolarů „zbastlit“ nebo za pár set dolarů koupit, může zastavit vlak.

Turns out you can just hack any train in the USA and take control over the brakes. This is CVE-2025-1727 and it took me 12 years to get this published. This vulnerability is still not patched. Here's the story: //t.co/MKRFSOa3XY

— neils (@midwestneil) July 11, 2025

V internetových diskusích se okamžitě objevily katastrofické scénáře zneužití této zranitelnosti. Realita naštěstí tak dramatická není. Především proto, že úspěšný útok na tuto zranitelnost opravdu umožní pouze vydat příkaz k aktivaci brzd. Opačný povel, tedy brzdy naopak vyřadit z provozu, takto napodobit, resp. vydat nelze. To však neznamená, že by „nepřátelské nouzové zastavení“ nemohlo způsobit žádné problémy.

Například zastavení vlaku na předem vybraném místě pro účely vlakové loupeže. Historie zná řadu takových případů, ale ty se obešly bez zneužívání zranitelností v bezdrátové komunikaci: vlak lze zastavit celou řadou jiných způsobů. A totéž platí pro zastavování stroje pro jiné účely – například teroristický útok s využitím nebezpečného nákladu jako jsou chemikálie nebo palivo.

Nouzové zastavení může způsobit zpoždění i škody na trati

Problém by mohlo způsobit koordinované narušení dopravy. Kombinace většího počtu zastavených vlaků by mohla nejen zdržet dopravu, ale i cíleně blokovat klíčové tratě a způsobit přetížení dopravní infrastruktury. V podstatě by šlo o obdobu DoS (Denial of Service) útoků, jak jsou známé v IT světě.

Lze si představit také riziko spojené se samotným nouzovým brzděním. Ve výjimečných podmínkách (ostrý oblouk, špatný stav tratě, těžký náklad s vysokým těžištěm, třeba i nerovnoměrný) by prudké nouzové zastavení mohlo vést k poškození nákladu, vozů či železničního svršku. Potvrzená data ale chybí, takže jde spíše o teoretickou obavu.

Doživotní tresty za zneužití bezpečnostní slabiny

Podle CISA a Americké asociace železnic (AAR) je problém známý nejméně od roku 2012. Protokol FRED používají desítky tisíc koncových zařízení, takže okamžitá náhrada není realistická.

Do zavedení nového, autentizovaného protokolu, což ale nebude dřív než v roce 2027, neexistuje účinné preventivní řešení. Monitoring je jen reaktivní (pozná útok až podle následku) a fyzická ostraha nepřichází v úvahu (nechrání před rádiovým příkazem z desítek až stovek metrů).

Americkým drahám tedy nezbývá než se spoléhat na odstrašující efekt trestů pro ty, kdo by se tuto zranitelnost pokusili zneužít. Ty trestní sazby jsou totiž z českého pohledu drakonické. Především, „sabotáž železnice“ či „ohrožení dopravy“ podléhá federálním zákonům, včetně Patriot Act, který byl přijat v reakci na teroristické útoky v 11. září 2001. Ten za terorismus vůči hromadné dopravě útoky předepisuje až doživotní vězení – stačí, když došlo k „ohrožení osob“.

Kybernetický útok na kritický systém zase spadá pod zákon Computer Fraud and Abuse Act (CFAA). První přestupek může znamenat až 10 let ve vězení, recidiva až 20 let; pokud dojde ke zranění, hrozí i doživotní trest.

Konečně, už pouhá obstrukce provozu železnice (vandalismus, narušení) je v některý státech také trestána extrémně přísně. Například v Louisianě, pokud dojde k ohrožení bezpečnosti nebo zranění, lze uložit pokutu až tisíc dolarů a až 20 let ve vězení; při usmrcení je možnost uložit doživotí, či dokonce trest smrti.