Uppkopplade bilar sårbara för hackerattacker

En bil är en dator på hjul. Den kommunicerar med biltillverkarens molntjänster, din telefonoperatör, laddstationer och när barnen streamar film i baksätet innebär det att data färdas över internet. Alla dessa uppkopplingar kan också fungera som ingångar till bilen för en hackare. Forskare vid Göteborgs universitet och Chalmers tekniska högskola studerade 413 rapporterade säkerhetsbrister i bilrelaterad mjukvara mellan 2022 och 2024 och jämförde dem med det föregående decenniet.

- För tio år sedan låg it-bristerna oftare i bilarnas egna system. Nu ser vi att andelen av riskerna som finns i appar, websidor och molntjänster har tredubblats. Dessa system innehåller data om var du bor, vart och när du kör bilen. Risken är inte längre bara att någon kan störa bilen, de kan också komma över information om ditt liv, säger Srijita Basu, forskare i software engineering på Göteborgs universitet och Chalmers tekniska högskola.

Att en sårbarhet i datasystemen anmälts betyder inte att någon har gjort ett intrång, bara att risken föreligger. I december 2024 avslöjades det att data från cirka 800 000 elbilar från Volkswagen, Audi, Seat och Skoda hade legat helt öppet på internet i flera månader. Datan innehöll exakt GPS-information och e-postadresserna, telefonnumren och hemadresserna till bilägarna. Det gick alltså att se exakt vart och när en viss bil hade körts. Säkerhetsluckan fanns i den molntjänst som biltillverkaren använder för att ladda upp data från bilar i trafik. Dataläckan avslöjades av en etisk hackergrupp som fick ett tips av en visselblåsare och rapporterades stort i massmedia. Läckan skall ha tätats innan den utnyttjades av någon.

- När vi jämför med det föregående decenniet kan vi se att sårbarheterna nu är vanligast i appar, websidor och molntjänster och att riskerna dessutom allt oftare bedöms som allvarliga och kritiska att lösa. Vi är överraskade över hur banala svagheter systemen har. Det kan handla om lösenord som inte ändrats från installationen. Datahackare kan använda sig av gamla beprövade tricks för att ta sig in via en bakdörr, säger Srijita Basu.

Bilens ljud- och mediasystem, vanligen kallat infotainment system är sårbart. Vem som helst som är uppkopplad till bilens wifi-nät skulle kunna ta sig in i bilens övriga system också, om de inte är separerade ordentligt.

Detta hände i ett test som säkerhetsforskare utförde på en Jeep Cherokee 2015. Genom bilens mediasystem kunde forskarna ta sig vidare in i bilens system och ta över styrning, gas och broms av bilen. Den nya studien visar att liknande sårbarheter fortfarande finns kvar ett decennium senare.

- Mitt råd till biltillverkarna är att strikt separera manöversystemen från alla övriga it-system, med stark säkerhet runt om. De bör också lära sig från webb och IT-världen, där många av bristerna har varit kända i flera år. När bilen hela tiden är uppkopplad med världen utanför, bjuder det också in världen utanför att ta sig in i bilen, säger Srijita Basu.

I genomgången av anmälda sårbarheter analyserade forskarna var sårbarheten hade uppstått. Var det i designen av it-funktionen, i programmeringen eller mjukvaran som körs på bilens datachip? Forskarna såg att chip-tillverkarna är olika duktiga på att skydda sin hårdvara från attacker och hur öppet de rapporterar säkerhetsbrister. Datachip från samma tillverkare används ofta av flera bilmärken, vilket innebär att hackare som har hittat en bakdörr in i en bilmodells it-system kan använda samma knep på andra bilar också.

- Bilägare har också ett ansvar för att göra det svårare för hackare. Det är viktigt att uppdatera programvaran så fort bilen ber om det och att ha starka lösenord är fortfarande viktigt. I dag ges väldigt mycket personlig information till AI-lösningar, till exempel när vi ber bilens förarsystem att planera en långresa med elbilen. Precis som andra AI-system kan dessa assistenter luras till att avslöja informationen som de matats med. Det spelar alltså roll vad vi delar med oss av och vad biltillverkaren tillåter AI:n att komma åt, säger Srijati Basu.

Vetenskaplig artikel i Software Quality Journal: Mapping the landscape of software vulnerabilities in connected vehicles

Kontakt: Srijita Basu, forskare vid Institutionen för data- och informationsteknik, Göteborgs universitet och Chalmers tekniska högskola. E-post: [email protected]

Miroslaw Staron, Professor i software engineering vid Institutionen för data- och informationsteknik, Göteborgs universitet och Chalmers tekniska högskola. Telefon: 031-772 10 81, Email: [email protected]