Je auto is een rijdende computer, maar het wachtwoord is soms nooit veranderd

In dit artikel:

Moderne auto’s zijn steeds vaker verbonden met apps, websites, clouddiensten, smartphones en laadpalen. Daardoor verschuift het cybersecurityrisico van de auto zelf naar de digitale systemen eromheen. Dat blijkt uit onderzoek van de Universiteit van Göteborg en Chalmers University of Technology naar 413 openbaar gemelde kwetsbaarheden uit de periode januari 2022 tot en met september 2024.

Ruim een derde van de lekken zat in externe toepassingen zoals apps en clouddiensten. Als alle systemen buiten de auto worden meegerekend, gaat het om ruim 41 procent, tegenover ongeveer 15 procent tussen 2010 en 2019. Ook de ernst nam toe: bijna de helft kreeg het label ‘hoog’ en 16 procent ‘kritiek’. Een voorbeeld was het lek bij Volkswagen, Audi, Seat en Škoda, waardoor locatiegegevens en thuisadressen van ongeveer 800.000 elektrische auto’s maandenlang online stonden.

Volgens onderzoeker Srijita Basu zijn sommige fouten opvallend eenvoudig, zoals onveranderde standaardwachtwoorden. Ook SQL-injectie, een aanvalstechniek die al jaren bekend is, komt veel voor. In de auto blijft het infotainmentsysteem een kwetsbaar onderdeel. Zo kon het systeem van een Škoda Superb uit 2022 worden uitgeschakeld via de wifi van de auto. Fabrikanten zouden functies die het rijden beïnvloeden daarom strikt moeten scheiden van systemen die met internet communiceren.

De AIVD waarschuwt bovendien dat auto’s gevoelige informatie over inzittenden en hun omgeving verzamelen en adviseert terughoudendheid met vertrouwelijke gesprekken in of bij de auto. Een gemelde kwetsbaarheid betekent niet automatisch dat die is misbruikt: slechts 17 gevallen uit de onderzochte periode stonden op een lijst van actief uitgebuite lekken van het Amerikaanse cyberagentschap CISA. Eigenaren kunnen risico’s beperken door updates snel te installeren, sterke wachtwoorden te gebruiken en voorzichtig om te gaan met informatie die zij met ingebouwde AI-assistenten delen.