Ny studie avslöjar allvarliga säkerhetsbrister i uppkopplade bilar

Säkerhetsbrister i moderna bilars digitala tjänster blir allt vanligare och bedöms i ökande utsträckning som allvarliga. Forskare vid Göteborgs universitet och Chalmers tekniska högskola har undersökt hur sårbarheterna förändrats och konstaterar att riskerna allt oftare finns i mobilappar, webbtjänster och molnbaserade system.

Forskningsartikeln Mapping the landscape of software vulnerabilities in connected vehicles publicerades den 12 september 2026 i Software Quality Journal, volym 34, som artikel nummer 52. Studien genomfördes av Srijita Basu, Miroslaw Staron, Magnus Almgren, Jennifer Horkoff och Christian Berger.

Forskargruppen granskade sammanlagt 413 rapporterade säkerhetsbrister i fordonsrelaterad programvara. Av dessa registrerades 134 under 2022 och 173 under 2023. Ytterligare 106 brister dokumenterades mellan januari och september 2024. Undersökningen omfattade därmed inte hela 2024.

Resultaten jämfördes med rapporterade sårbarheter under det föregående decenniet. Forskarna konstaterade att andelen säkerhetsrisker kopplade till appar, webbplatser och molntjänster hade blivit tre gånger så stor som för tio år sedan. Tidigare återfanns bristerna oftare i fordonens interna datorsystem.

Uppkopplade bilar utbyter kontinuerligt information med olika externa tjänster. Kommunikationen kan ske genom biltillverkarnas molnplattformar, mobiloperatörer och laddstationer. Varje sådan anslutning kan enligt forskarna utgöra en möjlig angreppspunkt för obehöriga.

De digitala tjänsterna kan innehålla information om bilägarnas bostadsadresser, fordonens positioner och tidpunkter för olika resor. Säkerhetsluckor i systemen kan göra uppgifterna tillgängliga för personer som saknar behörighet.

Srijita Basu, forskare vid institutionen för data- och informationsteknik vid Göteborgs universitet, beskriver i ett pressmeddelande hur forskargruppen överraskats av att vissa säkerhetsbrister är grundläggande. Som exempel nämner hon lösenord som fortfarande har samma inställningar som när systemen installerades.

Forskarna undersökte även programvara i 20 kodarkiv med koppling till fordonsindustrin. Enligt Chalmers tekniska högskolas forskningsdatabas identifierades totalt 827 sårbara programbibliotek. Granskningen omfattade bland annat källkod, förteckningar över programvarukomponenter och andra filer som används vid utveckling av mjukvara.

Problemen gäller inte enbart information om bilägare och fordon. Forskargruppen pekar även på säkerhetsrisker i bilarnas underhållnings- och mediasystem. En person med tillgång till ett fordons trådlösa nätverk skulle genom sådana svagheter kunna få åtkomst till andra delar av bilens datorsystem.

Redan 2015 visade säkerhetsforskare hur en Jeep Cherokee kunde angripas genom sitt mediasystem. Forskarna lyckades ta sig vidare till funktioner som styrde bilens färdriktning, acceleration och bromsar. Den nya studien visar att liknande typer av sårbarheter fortfarande förekommer.

Forskargruppen rekommenderar därför att biltillverkarna håller systemen för fordonets manövrering åtskilda från övriga digitala funktioner. En rapporterad säkerhetsbrist innebär dock inte automatiskt att någon har genomfört ett intrång, utan visar att en möjlig angreppsväg har identifierats.

Ett annat exempel på brister i bilindustrins datahantering uppmärksammades i december 2024. Göteborgs universitet redogjorde den 21 oktober 2026 för hur information från omkring 800 000 elbilar av märkena Volkswagen, Audi, Seat och Skoda hade varit offentligt åtkomlig på internet under flera månader.

Den exponerade informationen omfattade bland annat GPS-positioner och kontaktuppgifter till fordonsägare. Enligt Göteborgs universitet rättades säkerhetsbristen innan något känt missbruk av uppgifterna hade kunnat konstateras.

Cybersäkerhetsföretaget Upstream Security har också redovisat uppgifter om digitala angrepp inom fordons- och mobilitetssektorn. I företagets rapport om 2024 ökade antalet dokumenterade cybersäkerhetsincidenter från 295 under 2023 till 409 under 2024. Under samma period steg andelen incidenter som berörde telematik och applikationsservrar från 43 till 66 procent.

I sin rapport för 2026 analyserade Upstream Security ytterligare 494 offentligt rapporterade incidenter från 2025. Företaget klassificerade 67 procent som kopplade till telematik eller molntjänster. Samtidigt bedömdes 68 procent av incidenterna ha medfört intrång i data eller integritet.

Frågan om fordonens digitala säkerhet omfattas även av internationella regler. Storbritanniens Vehicle Certification Agency beskriver FN-regelverket UN R155 som krav på cybersäkerhet och biltillverkarnas system för att identifiera och hantera digitala risker. Det kompletterande regelverket UN R156 behandlar programvaruuppdateringar och tillverkarnas rutiner kring dessa.

Enligt EU:s officiella författningssamling ställer UN R155 krav på säkerhetstester innan fordon kan typgodkännas. Tillverkarna ska dessutom ha åtgärder för att upptäcka och förebygga cyberangrepp. Resultaten av säkerhetsövervakningen ska rapporteras till ansvarig godkännandemyndighet minst en gång per år.

EU-kommissionen beslutade genom förordning 2025/1455 att utvidga cybersäkerhetskraven till vissa motorcyklar, mopeder och fyrhjuliga fordon. För nya fordonstyper börjar reglerna tillämpas den 11 december 2027, medan de gäller för befintliga fordonstyper från den 11 juni 2029. Vissa eldrivna trampcyklar undantas.

Även EU:s cybersäkerhetsmyndighet Enisa har behandlat riskerna. I en rapport publicerad den 25 november 2019 om uppkopplade och delvis självkörande fordon framhöll myndigheten att säkerhetsarbetet måste omfatta både digitala funktioner och risker för trafiksäkerheten. Rapporten var avsedd att ge stöd till europeiska aktörer inom fordonssektorn.