Robotstøvsugere, digitale dørlåse og køleanlæg har noget til fælles: De kan styres elektronisk, og sikkerhedsfejl kan derfor give uvedkommende adgang. Tre forskere fra Aarhus Universitet forklarer her, hvordan vi beskytter de digitale systemer, der i stigende grad styrer vores fysiske omgivelser.
Hackede vandværker, kølediske og robotstøvsugere. Sikkerhedshuller i alt fra digitale dørlåse til babyalarmer.
Cyberangreb rammer ikke længere kun virksomheder og myndigheder. Også helt almindelige menneskers hverdag kan blive påvirket, når uvedkommende får adgang til de digitale systemer, der styrer vores fysiske omgivelser.
For i takt med at stadig flere ting får software og netværksforbindelser, bliver det muligt at overvåge og styre dem på afstand. Det gør mange opgaver lettere, men stiller også nye krav til sikkerheden.
-Worst-case er jo altid slemt når det kommer til cybersikkerhed, og vi har allerede set eksempler på, hvor galt det kan gå. Hackere har ændret temperaturen i fryseanlæg og angrebet vandværker, hvor de for eksempel har forårsaget fysiske skader på vandrør ved at manipulere vandtrykket, siger Jens Myrup Pedersen, professor i cybersikkerhed ved Aarhus Universitet.
-Og den slags kan jo ikke lige genoprettes med en softwareopdatering, fortsætter han.
Da én robotstøvsuger gav adgang til tusindvis af andre
I februar 2026 ville en softwareinteresseret mand finde ud af, om han kunne styre sin robotstøvsuger med en PlayStation-controller.
Under forsøget opdagede han en sikkerhedsfejl, som gav ham adgang til omkring syv tusinde robotstøvsugere af mærket DJI Romo verden over. Han kunne blandt andet tilgå kamerafeeds og digitale kort over ejernes boliger.
Manden gjorde producenten opmærksom på fejlen, som efterfølgende blev rettet.
I oktober 2026 fandt sikkerhedsforskere en sårbarhed i digitale dørlåse fra SwitchBot. Fejlen gjorde det muligt at åbne berørte låse gennem et manipuleret Bluetooth-signal. Forskerne demonstrerede angrebet, og producenten udsendte en sikkerhedsopdatering.
Der er ikke offentlig dokumentation for, at kriminelle har udnyttet disse fejl til at bryde ind i boliger. Men eksemplerne viser, hvordan fejl i den digitale styring kan få betydning for noget så fysisk som låste døre og kamerafeeds i boliger.
Ifølge Anders Møller, professor i datalogi ved Aarhus Universitet, skyldes mange sikkerhedsproblemer ældre software, som udviklere skabte på et tidspunkt, hvor de havde mindre fokus på sikkerhed.
Samtidig brugte de ofte programmeringssprog og teknikker, som gjorde det lettere at introducere alvorlige fejl.
I dag har forskerne bedre muligheder for at forebygge problemerne.
-Moderne programmeringssprog kan forhindre hele kategorier af programmeringsfejl, og forskning i programanalyse og programverifikation giver os stadig bedre metoder til automatisk at opdage fejl og kontrollere, at software overholder bestemte sikkerhedskrav,” forklarer han.
Men selvom udviklerne kan forebygge mange fejl, kan de næppe fjerne alle sikkerhedshuller. Derfor skal systemerne også begrænse, hvad uvedkommende kan gøre, hvis de alligevel får adgang.
-Et grundlæggende sikkerhedsprincip er, at brugere og programmer kun skal have de rettigheder, de faktisk har brug for, siger Anders Møller videre.
En servicetekniker, der skal justere temperaturen i én køledisk, behøver eksempelvis ikke adgang til samtlige køleanlæg i en supermarkedskæde. Ved at begrænse adgangen kan virksomheder mindske risikoen for, at én kompromitteret konto giver uvedkommende kontrol over hundredvis af anlæg.
Hvor meget skal vi forbinde til nettet?
Adgangskontrol og sikker software er imidlertid kun en del af løsningen.
Ivan Damgård, professor i kryptografi ved Aarhus Universitet, peger på, at virksomheder også skal holde deres software opdateret og kunne isolere udstyr fra nettet, hvis de opdager tegn på et angreb.
Han henviser blandt andet til angrebene mod køleanlæg i europæiske supermarkeder, hvor hackerne efter hans vurdering udnyttede en sikkerhedssvaghed, som havde været kendt i årevis, men som de berørte installationer ikke havde fået rettet.
-Det første er den gode gamle: Alt udstyr, al software skal være opdateret, siger han.
Men han rejser også et mere grundlæggende spørgsmål om, hvor meget udstyr der behøver at have forbindelse til internettet.
-Er det overhovedet nødvendigt, at alt det her udstyr er koblet på nettet – især det, der håndterer noget kritisk? Gør producenterne det i virkeligheden mest, fordi det lyder smart? spørger han.
Forbindelsen kan give nyttige funktioner, men den skaber også flere mulige adgangsveje, som virksomheder skal beskytte.
Det gælder både produkter i private hjem og de tekniske systemer, som sørger for eksempelvis varme, vand og ventilation.
Hvem sidder så med fjernbetjeningen?
At en maskine kan fjernstyres, betyder ikke nødvendigvis, at den er let at hacke. Ifølge Jens Myrup Pedersen kan virksomheder blandt andet beskytte deres systemer med lukkede netværk, overvågning og adgangskontrol.
Samtidig har fjernstyring klare fordele. Teknikere kan overvåge udstyr, finde fejl og reagere på problemer uden nødvendigvis at skulle møde op fysisk.
-Men det er helt afgørende, at det er ejeren af udstyret, som har fuld kontrol over, hvem der har en fjernbetjening, siger Jens Myrup Pedersen.
For vigtige og kritiske systemer vil det ifølge ham ofte være bedst, at en producent eller servicetekniker kun får adgang, når der er behov for det, og at adgangen bliver begrænset til de funktioner, vedkommende skal bruge.
Det er også vigtigt, at ejeren kan identificere den konkrete person, der har fået adgang, og efterfølgende se, hvem der har tilgået hvilke dele af systemet og hvornår.
-Man skal kun tildele adgang, når der er brug for det, kun så længe der er brug for det, og kun til det, der rent faktisk er brug for. For hvis en hacker får fat i den digitale nøgle, skal den helst ikke kunne åbne alle døre, siger professoren afslutningsvis.
Kilde: Aarhus Universitet.
