Sikkerhetsforskerne Shubham Shah og Sam Curry har publisert en ny gjennomgang av alvorlige svakheter i digitale tjenester brukt av anonymiserte bilprodusenter. Funnene ble offentliggjort 7. november 2026 og handler ikke om fysisk innbrudd i bilen, men om svakheter i nettjenester, kundeinnlogging og administrasjonsverktøy knyttet til bilprodusentenes apper.
I Shahs gjennomgang beskrives en kjede der eksponerte administrasjonsfunksjoner, innebygde tilgangsnøkler og svake kontroller i identitetsplattformen kunne utnyttes for å overta kundekontoer. Med en gyldig appøkt kunne en angriper i teorien få tilgang til de samme fjernfunksjonene som bileieren, blant annet låsing og opplåsing av dører, varsling med horn og lys, samt enkelte motorfunksjoner.
Forskerne opplyser at testene bare ble utført på biler de selv eide eller hadde uttrykkelig tillatelse til å undersøke. Shahs del av forskningen beskriver en angrepskjede mot biler i Australia, mens Currys separate rapport omfatter to anonymiserte bilprodusenter og tester med kontoer og kjøretøy i USA. Samlet omtaler forskerne også Canada.
Ifølge Curry ble sårbarhetene meldt inn til de berørte produsentenes sikkerhetsteam tidligere i 2026. Han skriver at feilene ble rettet og kompromitterte tilgangsopplysninger byttet ut omtrent to timer etter at rapporten var mottatt. Bilprodusentene er ikke identifisert offentlig, og det foreligger derfor heller ingen offentlig kommentar fra selskapene i de publiserte gjennomgangene.
Saken illustrerer hvordan moderne biler i økende grad er avhengige av skybaserte kontoer og mobilapper. Selv når bilens kjøresystemer ikke er direkte berørt, kan sårbarheter i konto- og administrasjonssystemer få fysiske konsekvenser dersom de gir uvedkommende tilgang til fjernstyrte funksjoner.