Sårbarhet som lar seg kontrollere

Høsten 2025 kjørte Ruter AS inn to busser i en fjellhall for å sjekke bussenes elektronik. Resultatet kunne leses på to måter. Nå kommer det frem at den sårbarheten de oppdaget lar seg enkelt kontrollere og at selv moderne busser fortsatt er relativt enkle, og med lav grad av integrasjon mellom elektroniske komponenter.

I november kom det ut en pressemelding fra kollektivselskapet Ruter AS. En pressemelding som fikk nærmest en hel verden til å ha skeptiske øyne rettet mot busser fra Kina. Pressemeldingen gav et inntrykk av at busser fra Kina kunne fjernstyres.

Etter å ha sett nærmere på det som er kommet fra denne hemmelige testen og påfølgende rapport, så er det vesentlig mindre kritisk. Og den sårbarheten som er funnet på moderne busser lar seg enkelt kontrollere.

Dagens busser er fortsatt relativt enkle teknisk, med lav grad av intergrasjon mellom komponenter. Og de nye bussene er tilkoblet internett for å muliggjøre oppdateringer av programvare ombord. Sistnevnte er den sårbare delen som kan kontrolleres. Det vil si at en enkelt kan koble bort sim-kort eller koble den ned fra nett. På den måten vil ikke bussen kunne oppdateres eller gi ondsinnede aktører tilgang.

Finnes i alle moderne kjøretøy, uansett opphavsland og merke

Slike systemer finnes i nærmest alle moderne kjøretøy. Og er vesetlig mer utbrett hos bilprodusentene. Produsenter av busser er ikke like langt fremme. Men de kommer gradvis etter. Derfor har Ruter AS allerede igangsatt tiltak for å styrke sikkerheten og redusere risikoen.

Selv om Yutong var den bussprodusenten som her ble sjekket, så har de aller fleste bussprodusenter uansett opprinnelsesland en aller annen form for trådløs oppdatering av programvarene. Så at det nettopp var en kinesisk produsent i dette tilfellet er mer en tilfeldighet.

Ruter AS sier til Aftenposten at funnene er bedre enn fryktet og at de allerede har sett på ulike tiltak.

– At teknologien var mer avansert. Selskaper som oss, med lange verdikjeder, vil alltid være utsatt for risiko. Derfor handler det om å redusere den risikoen til et håndterlig nivå, svarer Cato Holter, beredskapssjef i Ruter til Aftenposten.

Lion-Cage

Ruter AS fikk hjelp fra Tor Indstøy og Arild Tjomsland til å utføre denne testen på to busser. De valgte bevist busser av ulike alder for å se på hvor fort utviklingen på bussene går. Disse to er også kjent for Lion-Cage prosjektet hvor de utfører lignene undersøkelser av personbiler. Og under en konferanse forleden kom det frem at dagens moderne personbiler er mye mer avanserte og de «snakker» mye med sin produsent når bilen er parkert for dagen, uansett opphavsland.

Mistet bussordre grunnet en missvisende pressemelding

Yutong og andre bussprodusenter fra Kina har blitt nedringt av engstelige kunder og det skal også ha blitt avbestilt busser fra flere produsenter etter den første pressemeldingen fra Ruter AS. Yutong var i Norge og Storbritannia med en delegasjon før jul for å forklare hvordan deres busser er kontruert. De har også forklart at all data eies av bussens eier (busselskapet selv) og at dette lagres på en server i Frankfurt i Tyskland. Denne dataen kan ikke Yutong selv hente ut. Kun eier av bussen har tilgang. Og de følger EU sitt strenge krav til datasikkerhet.

På mange måter kommer denne oppklarende informasjonen alt for sent frem i lyset. Den skeptismen som fantes rundt produkter fra Kina ble ytterligere forsterket av Ruter AS sin pressemelding og det kan ta tid å rette dette opp igjen, om det i det hele tatt kan.