Moderna bilar kommunicerar ständigt med omvärlden. Tillverkarnas molntjänster, mobilappar, laddstationer och infotainmentsystem utbyter stora mängder data över internet. Varje uppkoppling innebär samtidigt en möjlig angreppsväg för hackare.

Forskare vid Göteborgs universitet och Chalmers tekniska högskola har analyserat 413 rapporterade säkerhetsbrister i bilrelaterad programvara mellan 2022 och 2024 och jämfört resultaten med det föregående decenniet. Andelen sårbarheter i appar, webbsidor och molntjänster har tredubblats.

Förändringen innebär också att hotbilden har breddats. Tidigare handlade mycket av säkerhetsarbetet om att förhindra intrång i bilens elektroniska styrsystem. Nu riskerar även stora mängder personlig information att hamna i fel händer. Molntjänsterna kan innehålla uppgifter om var bilägaren bor, vilka resor som görs och när bilen används.

Ett uppmärksammat exempel inträffade i december 2024, då det avslöjades att data från omkring 800 000 elbilar från Volkswagen, Audi, Seat och Skoda hade varit tillgängliga på internet under flera månader. Uppgifterna omfattade detaljerad GPS-information och personuppgifter om bilägarna. Säkerhetsbristen fanns i en molntjänst som användes för att samla in data från fordonen.

Forskarna konstaterar dessutom att en allt större andel av de rapporterade sårbarheterna klassificeras som allvarliga eller kritiska. Många av bristerna är förvånansvärt enkla, exempelvis lösenord som aldrig har ändrats från sina ursprungliga inställningar.

– Vi är överraskade över hur banala svagheter systemen har. Datahackare kan använda sig av gamla beprövade trick för att ta sig in via en bakdörr, säger Basu.

Samtidigt finns fortfarande risken att angripare tar sig från bilens uppkopplade tjänster vidare till de system som styr fordonet. Redan 2015 visade säkerhetsforskare hur de kunde utnyttja infotainmentsystemet i en Jeep Cherokee för att komma åt bilens styrning, gas och bromsar. Den nya studien visar att liknande typer av sårbarheter fortfarande förekommer.

En särskilt intressant slutsats för elektronikindustrin gäller halvledarna. Forskarna fann skillnader mellan chiptillverkarna när det gäller hur väl hårdvaran skyddas mot attacker och hur öppet säkerhetsbrister rapporteras.

Eftersom samma kretsar ofta används av flera biltillverkare kan en sårbarhet dessutom få konsekvenser för många olika bilmodeller. En angreppsmetod som fungerar mot ett visst system kan i princip återanvändas i andra fordon med samma teknik.

– Mitt råd till biltillverkarna är att strikt separera manöversystemen från alla övriga it-system, med stark säkerhet runt om. De bör också lära sig från webb- och it-världen, där många av bristerna har varit kända i flera år, säger Basu.

Ytterligare en risk finns i de AI-assistenter som allt oftare integreras i moderna bilar. När föraren exempelvis ber en AI-tjänst planera en längre resa kan systemet få tillgång till både personlig information och uppgifter om bilens användning. Även sådana assistenter kan manipuleras att avslöja information som de har tillgång till.