印度政府懷疑有人利用中國軟件，遠程禁用他們的電動三輪車？

7月初，印度德里街頭出現了一幕讓所有人都沒想到的場景：正在行駛的電動三輪車，毫無征兆地停在路中間不動了。

沒有機械故障，不是電池沒電，而是有人在十幾米外掏出手機，打開一個App，點了一下“關閉放電”按鈕。

離譜的是，這件事迅速從惡作劇變成了生意——有人專門蹲守在路邊，等車停了以后跑過去向司機索要200盧比“維修費”。

一部中國公司開發的電池管理App，怎么就成了遠程劫車工具？而下架三款App之后，印度街頭那些敞著藍牙大門的三輪車，真的安全了嗎？

一個裸露的藍牙接口

這件事的技術門檻低到讓人后背發涼，涉事的App叫BAT-BMS，由深圳一家叫作格林能源的公司開發，本來是一款再正常不過的電池監測工具。

它的設計初衷沒什么問題：通過藍牙連接鋰電池組，讓司機隨時查看電量、電壓、電池溫度，還能控制充放電。

但問題出在用的地方——印度市面上大量廉價電動三輪車配置的鋰電池組雖然裝了藍牙模塊，卻從來沒有人給這個藍牙接口加過一把鎖。

沒有密碼，沒有身份驗證，任何人的手機只要在十到十五米的范圍內打開App掃一下，就能直接連接上車輛的電池系統。

連接上去以后，App界面上那個“放電開關”按鈕，就成了遠程控車的一把萬能鑰匙。點一下，車就斷了電，司機被晾在路中間一臉懵。

社交媒體上很快冒出一大堆視頻，有人把它當整蠱游戲拍，有人甚至出教程教別人怎么找目標、怎么連藍牙、怎么按那個“關閉”按鈕。中央邦烏賈因那邊更是出了具體案子：一個年輕人用這個漏洞讓三輪車趴窩之后，裝模作樣走過去，對司機說“我能修，給200盧比就行”。

司機不知道發生了什么，以為是車壞了，乖乖掏了錢。被坑完了才發現，這根本不是故障，是被人遠程“截停”了。

印度電子與信息技術部秘書克里希南隨后證實，相關部門已經注意到了這個App被濫用的情況。

7月3日，印度政府下了命令，要求谷歌和蘋果應用商店把BAT-BMS、Lossigy和Epoch-i-ion三款中國電池管理App全部下架。德里運輸局局長潘卡·辛格也表示，運輸部門已經啟動調查。

可問題是，下架App能擋住那些手里已經裝了軟件的人嗎？網絡安全專家們心知肚明：只要那些藍牙接口沒鎖的電池還在路上跑，只要還能通過側載或者VPN拿到App安裝包，這場“惡作劇”隨時可以卷土重來。

誰該為這個漏洞買單？

真正值得追問的是：這些電池為什么連個最基本的密碼都不設？答案說出來其實有點難堪——因為省成本。

在技術層面，這其實是一個再簡單不過的問題。BAT-BMS這個App本身沒有安全漏洞，沒有后門，沒有預留任何惡意功能。它就是一個正常的、好用的電池管理工具。真正被省掉的，是硬件端的身份認證環節。

印度大量電動三輪車走的是極致性價比路線，在供應商報價環節，一片不帶密碼認證的藍牙芯片，比帶安全芯片的便宜幾毛錢。

多加一個密碼功能，意味著要改固件、要做調試，對追求“能跑就行”的組裝廠來說，這筆成本省得理直氣壯。

但這背后暴露的，其實是印度電動車產業鏈一個更深層次的尷尬。那些滿大街跑的貼著“印度制造”的電動三輪車，核心部件——電芯、BMS控制板、監測固件、配套軟件——幾乎都是進口來的。

印度企業在這個鏈條里扮演的角色，更像是把各個部件擰在一起的組裝工。

電池管理系統涉及鋰電池電化學特性的深度研究，需要大量充放電數據來調整安全閾值，這些核心技術能力，印度本土企業至今沒有全部掌握。

不是學不會，是這條路需要時間、需要研發投入，遠沒有“進口組裝”來得快。

于是問題就來了：出了事，該追誰的責？追中國軟件開發者的責——因為人家沒在App里強制要求設置密碼？追印度組裝廠的責——因為他們為了省錢沒給電池裝帶鎖的藍牙模塊？還是追監管部門的責——因為印度電動三輪車的檢測標準里至今沒有網絡安全要求？

德里運輸局選擇了最直接、也最容易操作的做法：讓應用商店下架中國App。這個動作完成起來只需要一個行政指令，回應速度也很快。但客觀來看，下架App解決的是“輿論問題”，而不是“安全問題”。

司機們用來監測電池溫度、防止熱失控的唯一工具沒了，那些敞著藍牙大門跑在街上的電池依然在敞著。

在印度炎熱的氣候條件下，鋰電池熱失控風險本來就高，這下司機連電池溫度都看不到了，安全層面其實是更被動了。

印度制造的信用

順著這個思路往下推，真正諷刺的地方就浮出來了。

印度政府下架App之后，臺面上打擊的是“中國軟件被濫用”，但臺面下真正被暴露的，是印度本土制造業在安全標準上的集體缺位。

電池管理是一個高度依賴軟件和電子控制的技術領域，而印度企業在這方面長期處于“買單者”角色——采購中國的電芯、采購中國的BMS控制板、采購中國的App打包方案。

這種模式在成本控制上無可厚非，但問題在于：當整個鏈條上的每一個環節都在追求極致低價時，“安全”這筆賬被徹底忽略了。

其實在業內，鋰電池的藍牙接口不設密碼并不是印度獨有的現象，在很多新興市場的廉價電動車產品里都出現過類似問題。

但不同的是，這次事件因為被當作“惡搞視頻”病毒式傳播，熱度過大，而且正好撞上了印度國內產業結構調整的敏感期，所以被迅速放大。

印度官方選擇下架中國App，某種程度上也是在借勢完成一次政治正確的表態。

但問題是，表態之后呢？印度政府計劃推出的新規——要求制造商強制執行強密碼、收緊藍牙訪問權限、在脆弱電池組上禁用遠程控制功能——還在推進階段。

德里街頭那些已經上路的成千上萬輛三輪車，依然沒有任何改動的消息。網絡安全專家提出來的“側載風險”也沒有得到有效回應。

從另一個角度看，這件事對中國出海企業也是一個信號。中國的電池管理技術和產品本身沒問題，但當它們被賣到一個缺乏工業標準和有效監管的市場時，企業是不是應該主動做點什么？

比如說，在出廠前就強制下游客戶設置安全認證，或者在上游軟件層面加入防濫用機制。技術上能做到，問題是愿不愿意多花成本去堵那個“別人不會管”的窟窿。

畢竟，當一個產品因為“裸奔”而出事時，用戶不會去追究是哪個環節省掉了密碼，他們只會記住——這個產品是中國造的。

參考資料： 中國電動三輪車應用在“惡作劇”關閉后引發令人擔憂的嚴厲打擊 https://punemirror.com/news/chinese-e-rickshaw-apps-prank-ban-safety-risk/