Moderne kjøretøy som personbiler, lastebiler, busser og landbruksmaskiner er rullende datamaskiner, fullpakket med sensorer. Slike kjøretøy er hele tiden online gjennom mobilnettet slik at produsenten, og eventuelt andre aktører, kontinuerlig kan oppdatere kjøretøyene med ny programvare og konfigureringer. Samtidig sender kjøretøyene telemetri tilbake til produsenten. De kan sende bilder, video og lyd og sin posisjon til enhver tid. Bare fantasien setter grenser for hva sensorene kan registrere og sende. Etter som dette både sikkerhetsmessig og personvernmessig er svært sensitive data veier det et tungt ansvar på bilprodusentene i beskytte og behandle disse dataene på en forsvarlig måte. Dessverre er det allerede eksempler på at slike data har ligget ubeskyttet. Gjennom feilkonfigurering av en web-plattform lekket Volkswagen tilgangsnøkler til sin skylagring hos Amazon slik at en hacker i Tyskland fikk tilgang til terrabyte med data fra 800 000 el-biler i hele Europa, hvorav 80 000 el-biler Norge. Heldigvis ga hackeren ansvarlig varsling til Volkswagen i dette tilfellet. Men dessverre må vi anta at Volkswagens skylagring har vært usikker over lang tid. Selv om det naturligvis er uvisst, må vi derfor anta at fiendtlige statlige aktører med høy motivasjon og store ressurser også har hatt tilgang til Volkswagens data. Når en enslig hacker med begrensede ressurser klarte det, har sannsynligvis statlige aktører også klart det. Volkswagen kan vente seg et klekkelig gebyr fra de tyske personvernmyndighetene BfDI. Samtidig bør norske sikkerhetsmyndigheter vurdere mulige konsekvenser av at fiendlige statlige aktører skaffer seg urettmessig tilgang, ikke bare til kjøretøydata fra Volkswagen, men fra kjøretøyprodusenter generelt.
Moderne kjøretøy respekterer ikke forbud mot fotografering.
Et moderne kjøretøy kan spionere på passasjerene i bilen og på området rundt kjøretøyet. En flåte av kjøretøy fra samme produsent kan overvåke alle områder kjøretøyene trafikkerer, som for noen produsenter er hele landet. For åpne offentlige områder har dette fellestrekke med f.eks. Google Street View. Men en viktig forskjell er at sistnevnte ikke viser ansikter, mens kjøretøy antagelig ikke sladder ansikter når bilder fra kjøretøyets kameraer sendes til produsenten. Slike bilder kan dermed brukes til ansiktsgjenkjenning og til å spore mennesker. En annen bekymring er at kjøretøy vil fortsette å ta bilder selv der fotografering er forbudt, f.eks. i militære områder dit militært personell med adgang kan kjøre inn. Dermed blir det meningsløst å sette opp skilt med "fotografering forbudt". For selv om sjåføren respekterer skiltet vil kjøretøyet ikke gjøre det, og vil sende bilder fra militære områder til produsenten. Verken sjåføren eller de militære myndighetene har praktiske muligheter til å hindre den ulovlige overvåkingen annet enn ved å forby adgang for slike kjøretøy til militære områder. Alle områder som trafikkeres av moderne kjøretøy er i realiteten kameraovervåket av bilprodusentene.
Dessuten er det bare fantasien som setter grenser for hvordan produsenter, eller andre aktører, teknisk sett kan fjernstyre kjøretøyene uten eierens viten eller samtykke. Det fins allerede eksempler på at produsenter har deaktivert kjøretøy gjennom fjernstyring. I 2022 ble det kjent at Russland hadde stjålet landbruksmaskiner fra en forhandler i okkuperte områder i Ukraina. Produsenten John Deere i USA fastlo at det var i strid med selskapets policy å la tyver bruke John Deere landbruksmaskiner, og var i stand til å deaktivere de stjålne landbruksmaskinene i Russland gjennom en enkel fjernkonfigurering. I 2024 viste den Chechenske krigsaktivist Ramzan Kadyrov frem sin Tesla Cybertruck med et kanonbatteri montert på lasteplanet. Produsenten Tesla i USA fastlo at det var mot selskapets policy at Cybertrucken skulle brukes i krig mot Ukraine, og var istand til å deaktivere Ramzan Kadyrovs cybertruck på samme måte. Russerne og chechenerne forsøker antagelig å reaktivere kjøretøyene, men uten støtte fra produsenten vil det i praksis være teknisk umulig.
Selskaper som styrer flåter med selvkjørende biler, som f.eks. taxi-selskaper, kan miste kontrollen slik at bilen fanger passasjeren.
I tillegg til fjernparalysering fins det langt mer dystre scenarioer. Teknisk sett kunne en bil bli programmert av produsenten til å slå av brems og styring mens bilen er i høy fart og nærmer seg en sving. Alternativt kunne bilen programmeres til å plutselig kjøre i motgående kjørefelt når det kommer en lastebil imot. Det er teknisk enkelt for produsenten i vite hvem føreren og passasjerene er, slik at det teknisk sett ville være enkelt å drepe navgitte inidivider på den måten.
Hvis en stor andel av bilparken består av biler fra en bestemt produsent, eller av biler produsert i en enkelt stat, ville det være teknisk mulig for myndighetene i staten å diktere produsenten(e) til å fjernparalysere alle bilene samtidig. Dette ville kunne blokkere trafikkårer og lamme samfunnsfunksjoner. Busselskaper bekrefter at kinesiske busser kan deaktiveres fra Kina.
I Lion Cage-prosjektet utført av USN og Telenor ble moderne biler og busser testet for å verifisere om det er teknisk og praktisk mulig for en trusselaktør å gjennomføre scenarioene beskrevet ovenfor. Kunklusjonen er JA på alle punkter, dessverre.
Mange vil intuitivt tenke at slike scenarioer aldri vil skje selv om det er teknisk mulig, fordi ingen produsenter eller stater ville ha interesse av det. Dessverre stemmer ikke den resoneringen. Hvis vi forestiller oss en krigssituasjon, eller en svært anspent politisk situasjon, med et land som har produsert mange av våre biler, blir scenarioene plutselig plausible. For å sette det på spissen, så er det ingen tilfeldighet at Norge og andre NATO-land ikke kjøper kampfly fra Russland eller Kina, selv om de antagelig ville være langt billigere og antagelig like gode som F35-kampflyene fra USA. I en spent politisk situasjon, eller en krigssituasjon, med Kina eller Russland ville kampfly fra landet ikke en gang lette fra rullebanen.
Det er utilstrekkelig at produsenter sier at alltid følger egen policy og etterlever kontrakter. For eksempel er kinesiske selskaper forpliktet til å utføre oppdrag fra kinesiske myndigheter når de blir bedt om det. I fredstid kan det være å utnytte biler for spionering og overvåking. I en krigssituasjon kan det være å sabotere. Det er plausibelt at hele den kinesiske bilparken i Norge kunne slutte å virke hvis vi kommer i krig med Kina, eller det oppstår en politisk spent situasjon. Vi bygger sårbarheter inn i samfunnet og ødelegger vår resiliens ved å la kinesiske biler kjøre på norske veier. Er det akseptabelt? I mange land ser vi allerede diskusjoner om slike cybertrusler fra biler.
Den rasende teknologiutviklingen skaper hele tiden nye trusler som vi i utgangspunktet ikke er oppmerksomme på. Nå er vi blitt oppmerksomme på truslene fra smarte biler. Det er på høy tid at myndighetene tar høyde for disse trusselscenarioene og innfører nødvendige forskrifter og retningslinjer om cybersikkerhet for kjøretøy.