Med få klik og uden nævneværdig teknisk snilde har en amerikansk sikkerhedsforsker overtaget en hel lastbilflåde.
Bag står Eaton Zveare, der har gjort det til sin specialitet at finde huller i bilproducenternes kundeportaler. Han har tidligere afsløret sårbarheder hos blandt andre Toyota og Honda. Afsløringer, som han har præsenteret på den berømte hackerkonference DefCon.
I det her tilfældte har han undersøgt flådeplatformen My Eicher, som er et internationalt selskab, hvor Volvo Group ejer knap halvdelen.
Selskabet markedsfører selv platformen med, at kunderne kan "tage kontrol over deres flåde som aldrig før.”
På sin blog gennemgår Eaton Zveare hvordan, at han har gjort et. I eksempel viser, at han hvordan han har overtagetet ingeniørfirmas konto på flådeplatformen My Eicher, loggede ind som ejeren og kunne derfra følge firmaets lastbiler live på kortet, sætte geofences om dem og se det instrumentbræt, chaufføren sidder og kigger på.
Han kunne have valgt hvem som helst. Platformen udleverede 2,5 millioner engangskoder til enhver, der spurgte pænt. Hver eneste SMS-kode, systemet havde sendt siden 2021.
Fuld adgang
Værst er ikke sporingen, men det er papirerne.
Et sæt dokument-API'er gav adgang til 76.000 uploadede filer, som tæller tusindvis af indiske legimitationspapirer, kunderne selv havde sendt til platformen.
Bloggen ser man metoden skridt for skridt, komplet med skærmbilleder af de API-kald, der udleverede kunderne. Han beskriver selv gennembruddet som rent held: i 99 procent af tilfældene giver det en fejlmeddelelse at gå et led op i en webadresse.
Sårbarhederne rammer udelukkende kunder i Indien. Kundelisten er indiske vognmænd og ingeniørfirmaer. Ingen danske flåder står i registret.
Men det, som gør sagen opsigtsvækkende er ikke ofrene, men den relativt simple metode, som blotlægger, hvor sårbarhederne sidder på en moderne lastbil. Angrebsfladen er hverken bremserne eller lastbilens egne styreenheder.
Sårbarheden sidder i den portal, producenten har bygget ovenpå, påpeger Eaton Zveare. Og den slags portaler sidder hos alle producenter - ofte i et datterselskab, ofte i et andet land, ofte uden for koncernens egen sikkerhedsstyring.
Mangelfuldt samarbejde med selskabet
Hullet er lukket nu. Det skete, uden at nogen svarede ham.
Eaton Zveare anmelder fundet den 3. november 2025. Han rykker 10. november, og igen 17. november, hvor han sætter flere modtagere på tråden. Han får dog aldrig et svar. Den 20. november bliver de interne API'er lukket.
"I det mindste fik de lukket den primære sårbarhed," slutter han sin tidslinje.
Efter november forsøgte han at aflevere yderligere bekymringer, blandt andet gennem den almindelige kundeservice. Han fandt ingen, der ville undersøge dem, og opgav efter nogle måneder.
Først dagen efter offentliggørelsen, 28. juli, kunne han melde, at de sidste forhold var udbedret i samarbejde med selskabet.
