Moderna bilar är ständigt uppkopplade mot omvärlden, vilket gör dem sårbara för hackerattacker. Säkerhetsbristerna finns i allt högre grad i appar och molntjänster snarare än i bilarnas egna datasystem, visar en studie.
En modern bil är i praktiken en dator på hjul. Den kommunicerar med biltillverkarens molntjänster, mobiloperatörer och laddstationer. När barnen streamar film i baksätet överförs dessutom data via internet. Varje uppkoppling kan utgöra en möjlig ingång för hackare.
Forskare vid Göteborgs universitet och Chalmers tekniska högskola har analyserat 413 rapporterade säkerhetsbrister i bilrelaterad mjukvara under perioden 2022–2024. De jämfördes med brister som rapporterades under det föregående decenniet.
– För tio år sedan låg it-bristerna oftare i bilarnas egna system. Nu ser vi att andelen av riskerna som finns i appar, websidor och molntjänster har tredubblats. Dessa system innehåller data om var du bor, vart och när du kör bilen, säger Srijita Basu, forskare i software engineering på Göteborgs universitet och Chalmers tekniska högskola, i ett pressmeddelande.
– Risken är inte längre bara att någon kan störa bilen, de kan också komma över information om ditt liv, fortsätter hon.
Förardata i molntjänst
Att en säkerhetsbrist rapporteras innebär inte att ett intrång har skett, utan att det finns en risk för att det skulle kunna inträffa.
I december 2024 avslöjades att data från omkring 800 000 elbilar från Volkswagen, Audi, Seat och Skoda hade varit tillgängliga på internet under flera månader. Bland uppgifterna fanns exakta GPS-positioner samt bilägarnas e-postadresser, telefonnummer och hemadresser. Informationen kunde därmed visa var en bil hade befunnit sig vid en viss tid.
Säkerhetsbristen fanns i en molntjänst som tillverkaren använde för att samla in data från bilar i trafik. Läckan upptäcktes av en grupp etiska hackare efter ett tips från en visselblåsare och fick stor uppmärksamhet i medier. Enligt rapporteringen åtgärdades bristen innan uppgifterna hann utnyttjas av obehöriga.
– När vi jämför med det föregående decenniet kan vi se att sårbarheterna nu är vanligast i appar, websidor och molntjänster och att riskerna dessutom allt oftare bedöms som allvarliga och kritiska att lösa, säger Srijita Basu och fortsätter:
– Vi är överraskade över hur banala svagheter systemen har. Det kan handla om lösenord som inte ändrats från installationen. Datahackare kan använda sig av gamla beprövade tricks för att ta sig in via en bakdörr,
Tog över gas och broms
Bilens ljud- och mediesystem, det så kallade infotainmentsystemet, är sårbart, menar forskarna. Det kan bli en ingång till andra delar av bilens it-system. Vem som helst som är uppkopplad till bilens wifi-nät skulle kunna ta sig in i bilens övriga system också, om de inte är separerade ordentligt.
Detta hände i ett test som säkerhetsforskare utförde på en Jeep Cherokee 2015. Genom bilens mediasystem kunde forskarna ta sig vidare in i bilens system och ta över styrning, gas och broms av bilen. Den nya studien visar att liknande sårbarheter fortfarande finns kvar ett decennium senare.
– Mitt råd till biltillverkarna är att strikt separera manöversystemen från alla övriga it-system, med stark säkerhet runt om. De bör också lära sig från webb och it-världen, där många av bristerna har varit kända i flera år. När bilen hela tiden är uppkopplad med världen utanför, bjuder det också in världen utanför att ta sig in i bilen, säger Srijita Basu.
Skillnad mellan olika datachip
Forskarna analyserade också var i systemen säkerhetsbristerna uppstod – i utformningen av it-funktionerna, i programmeringen eller i mjukvaran som körs på bilarnas datachip.
Genomgången visade skillnader mellan chiptillverkarna, både när det gäller hur väl hårdvaran skyddas mot attacker och hur öppet säkerhetsbrister redovisas. Eftersom samma typ av datachip ofta används av flera bilmärken kan en sårbarhet få konsekvenser för fler bilmodeller. Men även bilägare har ett ansvar för att försvåra attacker från hackare, menar forskarna.
– Det är viktigt att uppdatera programvaran så fort bilen ber om det och att ha starka lösenord är fortfarande viktigt. I dag ges väldigt mycket personlig information till AI-lösningar, till exempel när vi ber bilens förarsystem att planera en långresa med elbilen. Precis som andra AI-system kan dessa assistenter luras till att avslöja informationen som de matats med. Det spelar alltså roll vad vi delar med oss av och vad biltillverkaren tillåter AI:n att komma åt, säger Srijati Basu.
Vetenskaplig artikel:
Mapping the landscape of software vulnerabilities in connected vehicles, Software Quality Journal.
