Europa onderzocht 107 cyberrisico's van verbonden auto's: sommige gaan veel verder dan gestolen data

In dit artikel:

De Europese lidstaten, de Europese Commissie en cybersecurityagentschap ENISA hebben 107 risico’s onderzocht voor verbonden en geautomatiseerde auto’s, bestelwagens, vrachtwagens en bussen. Veertien scenario’s kregen de zwaarste combinatie van impact en waarschijnlijkheid. Dat betekent niet dat ze zich binnenkort zeker voordoen, maar wel dat Europese maatregelen nodig kunnen zijn.

De risico’s gaan verder dan het uitlekken van locatie-, rij- of gebruiksgegevens. Omdat moderne voertuigen verbonden zijn met cloudservers, infrastructuur en andere systemen, kunnen digitale verbindingen ook toegang bieden tot interne voertuignetwerken. Onderzoekers hebben in beveiligingstests aangetoond dat een voertuig uiteindelijk op afstand kan worden overgenomen. Een aanval op systemen die rijbeslissingen nemen of de auto aansturen, kan daardoor leiden tot schade, ernstig letsel of dodelijke ongelukken.

Ook draadloze software-updates vormen een belangrijk aandachtspunt. Ze zijn nuttig voor onderhoud en beveiliging, maar kunnen worden misbruikt om kwaadaardige software of instellingen op grote schaal in voertuigen te installeren. Het rapport onderzoekt daarnaast het risico dat een leverancier onder druk van een buitenlandse overheid verborgen software, hardware of configuraties toevoegt. De term ‘leverancier met een hoog risico’ verwijst daarbij niet naar een specifiek land of merk en leidt op zichzelf niet tot een verbod.

De analyse omvat ook laadpalen. Manipulatie van een laadsysteem zou een batterij kunnen overladen, met oververhitting, brand of een explosie als mogelijk gevolg. In een aangehaalde studie gebruikte slechts 12 procent van 235 onderzochte publieke snelladers in vier Europese landen TLS-versleuteling. Europa wil daarom ook de gevolgen van een grootschalige aanval op laadinfra voor het elektriciteitsnet laten onderzoeken.

Voor nieuwe voertuigen bestaan al Europese cybersecurity- en software-update-eisen. In Nederland controleert de RDW onder meer of fabrikanten een cybersecuritymanagementsysteem hebben en kwetsbaarheden gedurende de levensduur aanpakken. Volgens de risicoanalyse zijn aanvullende maatregelen vooral nodig rond leveranciers met vergaande toegang tot voertuigen, cloudomgevingen en updates. De kernboodschap is dat autoveiligheid tegenwoordig niet alleen over remmen en botsingen gaat, maar ook over betrouwbare softwareverbindingen.