Ditt uppkopplade fordon ljuger inte – och det vet angriparna om det
Halvt miljoner lastbilar dolde säkerhetshål som gav angripare fjärrstyrning.
När bromsen är en säkerhetslucka
I slutet av 2024 återkallade fordonskomponenttillverkaren Bendix sin bromsstyrenhet EC80 – en komponent som sitter i hundratusentals tunga lastbilar och hanterar allt från låsningsfria bromsar till stabilitetssystem. Den officiella förklaringen var odramatisk: minneskorruption orsakad av linjebrus i elsystemet. Inget konstigt, inget alarmerande.
Men bakom den lugna formuleringen dolde sig något betydligt allvarligare. Säkerhetsforskaren Ben Gardiner från branschorganisationen NMFTA avslöjade vid säkerhetskonferensen Black Hat USA 2026 att uppdateringen som skickades ut tyst också lappade en rad kritiska cybersårbarheter – utan att det någonsin kommunicerades offentligt till fordonsägare, myndigheter eller allmänhet.
Gardiner bakåtkompilerade inbyggd programvara från tre EC80-enheter och jämförde originalet med den uppdaterade versionen. Fynden var graverande: bufferthanteringsfel som kunde krascha styrenheten och möjliggöra fjärrkörning av godtycklig kod, ett hårdkodat lösenord som gav tillgång att inaktivera friktionskontrollen, samt ytterligare ett fel med potential att exekvera kod på distans. Dussintals funktioner hade helt enkelt tagits bort i den uppdaterade versionen – en tyst städning av farlig kod.
Det som gör detta särskilt oroande är kommunikationsvägen. EC80 använder J2497, ett kraftledningsbundet databussystem som är industristandard sedan 2001. Det bussystemet kan nås trådlöst, och NMFTA visade redan 2022 hur den trådlösa åtkomsten utgör en attackyta. En angripare som tar sig in via en komprometterad telematikutrustning på ett släpfordon kan alltså, i teorin, nå bromssystemet på det dragande fordonet. Vid provkörningar på avspärrad bana simulerade Gardiner just den typen av angrepp – med påvisbara effekter på fordonets beteende.
Att en säkerhetsåterkallelse paketeras som ett rent tekniskt underhållsärende är inte bara ett kommunikationsproblem. Det undergräver hela kedjan av ansvarsutkrävande som är tänkt att skydda trafikanter och samhälle.
När bilen vittnar mot sin ägare
Samtidigt som tung trafik visade sig ha oupptäckta bakdörrar, fick en brittisk man lära sig att personbilars databloggar kan vara nog så kompromisslösa som en domstolsförhörare.
Den 6 mars 2024 ringde Nathan Owen polisen och berättade att hans Jaguar I-Pace plötsligt accelererat okontrollerat på motorvägen och att bromsarna inte svarade. Tre motorvägar stängdes av, polisfordon omringade bilen, och i drygt 35 minuter kolliderade Owens bil med polisfordon 33 gånger i hastigheter upp till 138 kilometer i timmen – tills batteriet tog slut.
Historien var dramatisk. Problemet var att den var fabricerad.
Jaguar genomförde en teknisk granskning och konstaterade att fordonet fungerade felfritt. Ännu mer avslöjande var bilens digitala händelselogg: den visade att fordonet stod stilla med bromspedalen nedtryckt när Owen ringde polisen, och att bromspedalen aldrig aktiverades under den påstådda vilda färden, rapporterar CleanTechnica.
Owen hade stora ekonomiska problem – missade amorteringar, ett avslaget låneansökn bara fem minuter innan han ringde polisen, och textmeddelanden som visade att han under månader letat efter ett sätt att bli av med bilen. Elbilens egna loggböcker blev i praktiken det avgörande vittnesbördet mot honom.
Två sidor av samma mynt
Dessa två berättelser hör ihop på ett djupare plan än vad som syns vid första anblick. De handlar båda om vad det innebär när fordon inte längre är mekaniska maskiner utan uppkopplade datasystem med minne, kommunikationsförmåga och en ständigt växande attackyta.
För säkerhetsbranschen är Bendix-fallet en påminnelse om att inbyggd programvara i säkerhetskritiska system måste granskas öppet – inte fixas i det tysta. Transparens är inte bara god sed, det är en förutsättning för att marknaden och myndigheterna ska kunna fatta välgrundade beslut.
För rättsväsendet och försäkringsbranschen visar Owen-fallet att fordonsdatan alltmer fungerar som ett obestickligt vittnesmål. Det är en möjlighet, men det reser också frågor om dataintegritet, vem som äger loggarna och hur de hanteras juridiskt.
Uppkopplade fordon lovar ökad säkerhet, effektivitet och bekvämlighet. Det håller. Men de kräver också ett nytt säkerhetstänk – från konstruktionsbordet till rättssalen.
Vår analys
Det som slår mig när jag sätter ihop dessa två berättelser är hur olika de är på ytan, men hur de pekar mot samma grundläggande förändring: fordonet har blivit ett vittnessystem.
Bendix-fallet är det mer oroande av de två, rent tekniskt. Att säkerhetskritiska sårbarheter i bromssystem på tunga fordon åtgärdas utan offentlig redovisning är ett systemfel – inte hos en enskild tillverkare, utan i hur branschen hanterar ansvarsfull informationsdelning. Det finns väletablerade rutiner för detta inom programvaruvärlden; fordonsektorn behöver komma ikapp.
Owen-fallet är nästan omvänt: här fungerade tekniken precis som den ska, och data skyddade samhället från ett bedrägeri. Det ger mig tillförsikt.
Det intressanta framåt är hur dessa spår möts: när fordon samlar mer data, ökar både möjligheterna att avslöja brott och riskerna för att angripare utnyttjar samma kanaler. Reglering, öppen säkerhetsgranskning och tydligare ansvarsutkrävning från tillverkare är nästa nödvändiga steg.