Zonder het te weten zijn we misschien allemaal James Bond

Onze auto's zitten vol camera's, sensoren en computers. Ze weten waar we zijn en naar we naar toe gaan. Daarnaast kunnen ze software op afstand ontvangen en staan voortdurend in verbinding met systemen buiten de auto. De gebruiker kan vaak ook nog extra apps installeren. Al die dingen zijn erg handig, totdat je je afvraagt wie er allemaal toegang toe zou kunnen krijgen. En wat diegene daarmee kan doen.

Vroeger had James Bond een speciaal door Q aangepaste Aston Martin nodig om zijn tegenstanders af te luisteren, te volgen of uit te schakelen. Verborgen camera's, zendapparatuur, op afstand bedienbare functies, het hoorde allemaal bij de uitrusting van een geheim agent. Tegenwoordig rijden we zelf rond in auto's die standaard over een groot deel van die technologie beschikken. Alleen hebben we daar meestal geen enkele spionageopleiding voor gevolgd.

Dat klinkt misschien wat overdreven. Toch is er aanleiding om er eens serieus over na te denken, zeker nu de digitale veiligheid van auto's steeds nadrukkelijker op de politieke agenda komt.

Het begint bij BYD, maar daar houdt het niet op

Begin november vroegen veertien leden van het Europees Parlement aan de Europese Commissie om te onderzoeken of auto's van het Chinese BYD een veiligheidsrisico vormen. Ze willen onder meer weten of beperkingen nodig zijn bij overheidsaanbestedingen en de toegang tot gevoelige locaties. De aanleiding is de mogelijkheid dat verbonden auto's informatie verzamelen die interessant is voor buitenlandse inlichtingendiensten.

BYD bestrijdt die zorgen. Volgens de fabrikant kunnen gegevens uit zijn Europese voertuigen en cloudsystemen niet vanuit China worden ingezien en worden die gegevens ook niet met Chinese partijen gedeeld. Daarmee is de kwestie niet opgelost, maar evenmin is aangetoond dat BYD-auto's voor spionage worden gebruikt.

Niet alleen Chinese auto's

Interessanter vind ik eigenlijk een andere vraag. Waarom kijken we vooral naar Chinese auto's? Een moderne auto heeft ongeacht zijn afkomst vaak camera's, microfoons, gps, internettoegang en een indrukwekkende verzameling sensoren aan boord. Hij weet waar we rijden, hoe snel we rijden en soms zelfs waar we regelmatig parkeren. Veel auto’s weten, dankzij de memorystand van de stoelbediening, ook nog eens heel veel van het postuur van de berijder(s). En zo weet een moderne auto misschien wel veel meer van ons dan we ons realiseren.

Afhankelijk van de uitvoering en de ingeschakelde diensten kunnen die gegevens worden opgeslagen of doorgestuurd. Daarvoor hoeft niemand de auto te hacken. Een deel van die gegevensverwerking hoort gewoon bij de functies waarvoor we betalen. Het verschil tussen een handige digitale dienst en een ongewenste informatiebron zit soms vooral in de vraag wie toegang heeft tot de gegevens, waarvoor ze worden gebruikt en hoe goed ze zijn beveiligd.

De spion hoeft niet achter het stuur te zitten

Stel dat een verbonden auto regelmatig bij een ministerie, militaire installatie of onderzoekscentrum komt. Dan kunnen locatiegegevens en andere informatie over die ritten interessant zijn voor iemand met minder onschuldige bedoelingen. Dat betekent niet dat iedere auto voortdurend zijn omgeving filmt en die beelden naar een buitenlandse server stuurt. Welke gegevens worden vastgelegd, bewaard of verzonden, verschilt per fabrikant en systeem. Maar de apparatuur die zulke informatie zou kunnen verzamelen, is in veel auto's al aanwezig.

En dat geldt niet alleen voor Chinese merken. Ook Europese, Amerikaanse, Japanse en Koreaanse fabrikanten bouwen auto's die steeds sterker afhankelijk zijn van software en digitale verbindingen. De geopolitieke risico's zijn niet voor ieder land hetzelfde, maar een kwetsbaarheid in software vraagt niet naar het paspoort van de autofabrikant.

En als iemand meer wil dan alleen meekijken?

Tot zover de spionage. Maar er is nog een andere kant aan dit verhaal. We leven in een tijd waarin cyberaanvallen niet uitsluitend worden gebruikt om gegevens te stelen. Ze kunnen ook bedoeld zijn om systemen te verstoren of schade aan te richten.

De AIVD en MIVD waarschuwden begin dit jaar voor Russische hybride activiteiten tegen Europese landen. De diensten signaleren cyberaanvallen en sabotage in Europa, en ook in Nederland zijn voorbereidingen voor sabotage waargenomen. Volgens de AIVD en MIVD kunnen Russische hybride activiteiten leiden tot materiële schade, fysiek letsel en verstoring van vitale processen. Dat wil niet zeggen dat Russische of Iraanse hackers inmiddels Nederlandse auto's kunnen stilzetten. Daarvoor is geen bewijs geleverd. Maar het maakt de vraag naar de digitale weerbaarheid van ons wagenpark wel een stuk minder theoretisch.

En waarom zouden we uitsluitend aan staten denken? Ook cybercriminelen of terroristische organisaties kunnen belang hebben bij het ontregelen van systemen. Of ze daarvoor de technische mogelijkheden hebben, is een andere vraag, maar met de komst van vibe coding (programmeren met behulp van AI) is er heel veel mogelijk.

Neem nu eens een druk verkeersknooppunt of een belangrijke verbindingsweg. Wat zou er gebeuren als een aanvaller op hetzelfde moment een groot aantal voertuigen kon uitschakelen? En stel dat hij dat tegelijkertijd op een aantal cruciale plekken zou doen? Je hebt op die manier helemaal geen explosieven nodig om het verkeer ernstig te ontregelen.

Laat ik benadrukken dat dit een denkbeeldig scenario. Er is geen publiek aangetoond vermogen om willekeurige moderne auto's op die schaal gelijktijdig stil te zetten. Je hoeft hier dus (nog) niet wakker van te liggen. Wel hebben beveiligingsonderzoekers eerder bewezen dat bepaalde voertuigfuncties via kwetsbaarheden op afstand te beïnvloeden zijn. Daarvan is zelfs een meer dan tien jaar oud voorbeeld van te vinden.

Ook de updates kunnen een kwetsbaarheid vormen

Daar komt nog iets bij. Steeds meer auto's krijgen hun software-updates draadloos, via over-the-air-updates. Dat is doorgaans een voordeel. Fabrikanten kunnen fouten herstellen en beveiligingslekken dichten zonder dat de eigenaar naar de garage hoeft. Maar het betekent ook dat er een digitale verbinding bestaat waarlangs nieuwe software het voertuig bereikt.

Die updates worden normaal gesproken beveiligd met onder meer digitale handtekeningen en controles. Een gehackte server kan dus niet vanzelf iedere aangesloten auto van kwaadaardige software voorzien. Toch vormt de complete keten, van softwareontwikkelaar tot updatesysteem, een mogelijk doelwit voor aanvallers.

En dan hebben we de garage nog. Moderne werkplaatsen gebruiken diagnosesystemen waarmee ze voertuigsoftware kunnen uitlezen, instellingen kunnen aanpassen en updates kunnen installeren. Ook die apparatuur en de bijbehorende accounts moeten goed beveiligd zijn. Een inbraak in het gewone bedrijfsnetwerk betekent niet automatisch dat een aanvaller auto's kan manipuleren, maar een gecompromitteerd diagnosesysteem kan wel degelijk een veiligheidsrisico vormen.

We vertrouwen dus niet meer alleen op de technische kwaliteit van de auto. We vertrouwen ook op de beveiliging van de fabrikant, diens softwareleveranciers, de servers en de werkplaatsapparatuur. Dat is een behoorlijk lange keten.

Een brandende auto als cyberwapen?

Bij hybride en elektrische auto's komt daar nog een verontrustende gedachte bij. Zou iemand de accu op afstand zo kunnen manipuleren dat een auto in brand vliegt? Bijvoorbeeld in een parkeergarage onder een overheidsgebouw?

Een accubrand is een reëel technisch verschijnsel. Maar dat betekent nog niet dat zo'n brand eenvoudig via een hack op afstand kan worden veroorzaakt. De accu wordt bewaakt door verschillende veiligheidsvoorzieningen en er is geen overtuigend publiek bewijs dat moderne elektrische auto's op die manier op grote schaal in brand kunnen worden gestoken.

Het zou onverstandig zijn om die mogelijkheid als een bestaand wapen te presenteren. Maar het omgekeerde, namelijk ervan uitgaan dat zoiets onmogelijk is omdat we er nog geen praktijkvoorbeeld van kennen, lijkt me evenmin een verstandige manier om over cyberveiligheid na te denken. Overigens zijn ook auto's met een verbrandingsmotor afhankelijk van elektronische besturing. De digitale kwetsbaarheid is dus niet voorbehouden aan volledig elektrische auto’s.

Hoe veilig is veilig genoeg?

Er bestaan gelukkig al regels voor de cyberveiligheid van auto's. De internationale UNECE-reglementen R155 en R156 stellen eisen aan de beveiliging van voertuigen en het beheer van software-updates. Fabrikanten moeten onder meer aantonen dat ze cyberrisico's beheersen en hun systemen blijven bewaken.

Bij de typegoedkeuring beoordeelt de verantwoordelijke Europese goedkeuringsinstantie, zoals de RDW in Nederland, of aan die eisen is voldaan. Dat is noodzakelijk, maar een goedgekeurd beveiligingsproces maakt een auto niet onkwetsbaar. Software verandert voortdurend. Er komen nieuwe functies bij, er worden nieuwe kwetsbaarheden ontdekt en aanvallers ontwikkelen nieuwe methoden.