Nykyaikaiseen autoon hyökkäävien hakkereiden ei enää tarvitse mennä auton oman elektroniikan kautta. Kasvava määrä tietoturvapuutteita löytyy sovelluksista ja pilvipalveluista, jotka tallentavat tietoja omistajan asuinpaikasta ja auton ajoajoista, osoittaa Göteborgin yliopiston katsaus.
Tutkimuksessa, joka julkaistiin Software Quality Journal -lehdessä, tutkijat ja kollegat Chalmersista tarkastelivat 413 raportoitua tietoturvapuutetta autoihin liittyvissä ohjelmistoissa vuodesta 2022 syyskuuhun 2024 saakka. Tämän jälkeen he vertasivat löydöksiään edellisen vuosikymmenen tilanteeseen.
Mitä useampaan palveluun auto on yhteydessä, valmistajan palvelimista latausasemiin, sitä enemmän tapoja hyökkääjällä on päästä sisään.
— Kymmenen vuotta sitten IT-tietoturvapuutteita löytyi useammin autojen omista järjestelmistä. Nyt näemme, että sovelluksista, verkkosivustoilta ja pilvipalveluista löytyvien riskien osuus on kolminkertaistunut, sanoo Srijita Basu, ohjelmistotekniikan tutkija.
Arkielämä on tallennettu pilveen
Basun mukaan kuka tahansa pääsyn saava voi saada muutakin kuin itse auton: tietoa kuljettajan elämästä. Raportoitu haavoittuvuus on riski, ei todiste tietomurrosta.
Se, mitä voi tapahtua, selvisi joulukuussa 2024, kun kävi ilmi, että noin 800 000 Volkswagenin, Audin, Seatin ja Skodan sähköautoon liittyvät tiedot olivat olleet saatavilla verkossa kuukausien ajan. Tiedot oli tallennettu pilvipalveluun, joka keräsi tietoja autoista, ja sieltä oli löydettävissä GPS-sijainteja sekä omistajien sähköpostiosoitteita, puhelinnumeroita ja kotiosoitteita. Eettiset hakkerit löysivät vuodon ilmiantajan vihjeen perusteella, ja se tiettävästi suljettiin ennen kuin kukaan ehti hyödyntää sitä.
Lisäksi yhä useammat haavoittuvuudet on luokiteltu vakaviksi tai kriittisiksi.
— Olemme yllättyneitä siitä, kuinka perustavanlaatuisia näiden järjestelmien heikkoudet ovat. Ne voivat liittyä salasanoihin, joita ei ole vaihdettu asennuksen jälkeen, Basu sanoo.
Viihde ja ajoneuvon hallinta samassa verkossa
Musiikki, navigointi ja Wi-Fi hoidetaan auton viihdejärjestelmän kautta. Jos sitä ei ole asianmukaisesti eristetty auton hallintajärjestelmistä, joku auton Wi-Fi-verkkoon yhdistävä voisi pahimmassa tapauksessa päästä käsiksi myös noihin järjestelmiin.
Tietoturvatutkijat osoittivat tämän olevan mahdollista jo vuonna 2015, kun he käyttivät Jeep Cherokeen mediajärjestelmää ottaakseen hallintaansa sen ohjauksen, kaasun ja jarrut. Vuosikymmen myöhemmin vastaavia heikkouksia on yhä jäljellä uuden katsauksen mukaan. Basu kehottaakin valmistajia erottamaan ajoneuvon hallintajärjestelmät tiukasti kaikista muista IT-järjestelmistä ja rakentamaan niiden ympärille vahvan tietoturvan.
Asenna päivitykset ja mieti, mitä jaat
Auton omistajat voivat myös vaikeuttaa hyökkääjien työtä asentamalla päivitykset heti, kun auto niitä pyytää, ja käyttämällä vahvoja salasanoja.
Hän varoittaa myös autojen tekoälyavustajista, jotka saavat henkilökohtaisia tietoja, kun niitä esimerkiksi pyydetään suunnittelemaan pitkä matka sähköautolla.
— Kuten muutkin tekoälyjärjestelmät, nämä avustajat voidaan huijata paljastamaan niille syötettyjä tietoja. Sillä on siis merkitystä, mitä me jaamme ja mihin autonvalmistaja antaa tekoälyn päästä käsiksi, Basu sanoo.
