老张把车停在地下车库，免工熄火，具渗拔钥匙。免工中控屏还亮着，具渗蓝牙没断。免工他掏出手机，具渗点开一个叫“车联助手”的免工App，界面简陋得像2012年的具渗安卓工具。三秒后，免工车门锁“咔哒”一声弹开。具渗他没碰钥匙，免工也没碰车门把手。具渗整个过程，免工手机离车不到两米。具渗

这不是免工什么黑客电影桥段。老张是个二手车贩子，这辆2018款某国产品牌SUV是他上周收的。原车主忘了交车联网服务费，车机却还留着默认的远程控制通道。老张在论坛上花二十块钱买了个破解版App，输入车架号后六位，直接连上了。他说：“比配钥匙便宜多了，配一把遥控钥匙得四百。”

免工具渗透，说白了就是不用螺丝刀、不用诊断仪、不用拆中控。攻击面从物理接口转移到了无线协议和云端API。一辆车身上有蓝牙、Wi-Fi、蜂窝网络、RFID钥匙信号、胎压监测射频，每一个都是潜在入口。多数人只关心发动机和变速箱，没人注意车顶那个鲨鱼鳍天线里藏着什么。

我见过最离谱的案例是一辆2016年的美系皮卡。车主发现自己的车在凌晨三点自动启动了空调，并且座椅加热开到了最高档。4S店查了三天，最后发现是附近一个无线电爱好者用SDR设备重放了钥匙信号。那哥们儿本意是想扫一下胎压数据，结果误触了远程启动指令。车主后来在论坛发帖：“我以为是闹鬼，结果是邻居在玩收音机。”

这类漏洞的根源不在技术多高深，而在于厂商把便利性排在了安全性前面。无钥匙进入系统为了响应快，钥匙和车之间用固定码或简单滚动码。滚动码理论上每次不同，但有些低端方案同步窗口设得太宽，抓两次信号就能预测下一次。蓝牙数字钥匙更麻烦，手机App和车机配对时如果没做证书绑定，中间人攻击几乎零成本。

去年有个安全研究员在GitHub上放了个脚本，专门扫某品牌充电桩的蓝牙接口。充电桩和车之间的BMS通信没加密，脚本能直接读电池温度、电压，甚至改写充电截止电压。他拿自己车试了，把截止电压从4.2V调到4.35V，续航多了三十公里。代价是电池循环寿命从两千次掉到八百次。帖子底下有人回：“这哪是渗透，这是自杀。”

免工具渗透的可怕之处在于门槛低。以前搞车需要CAN总线分析仪、需要OBD转接线、需要懂UDS协议。现在只需要一部手机、一个开源App、一点耐心。攻击者不需要靠近车辆，隔着墙、隔着停车场围栏都能干活。你锁了车，不代表车锁了。

有个做车队管理的朋友告诉我，他们公司三十辆物流车，去年被人在同一个晚上全部远程解锁。监控拍到几个小年轻挨个拉车门，偷了导航仪和行车记录仪。警察来了也纳闷——车锁没坏，玻璃没碎，钥匙在司机手里。最后查出来是车联网平台的一个测试账号没删，密码是“123456”。

厂商不是不知道这些问题。但修一个漏洞要走完整的OTA流程，要重新做渗透测试，要等下一个车型年款。而攻击者只需要找到一个没改默认密码的车主。这场博弈里，时间不在防守方这边。

老张后来把那辆SUV的远程控制模块保险丝拔了。中控屏弹了个“网络连接失败”的提示，他拿黑胶布贴上。“我不需要车帮我开空调，”他说，“我需要它别自己开门。”