Mynstort angrep på Boeing 737: En enhet til under 100 dollar kan kapre autopiloten

På USENIX Security Symposium i 2026 presenterte forskere fra University of California San Diego (UCSD) og Oberlin College et av de mest praktiske flykapringsangrepene som noensinne er offentliggjort. «Bus Driver»-angrepet består av en myntstor Wi-Fi-enhet som koster under 100 dollar, kan monteres på en Boeing 737 på under 60 sekunder, og kan overta kontrollen over flyets autopilot ved å injisere kommandoer over den ukrypterte ARINC 429-databussen .

Slik fungerer angrepet: Fysisk tilgang og implantasjon

Angriperen starter med å åpne en ulåst luke på flyets utside – elektronikkrommet (E&E-bay) – på omtrent 15 sekunder uten spesialverktøy . Inni finnes en diagnostisk vedlikeholdsport som bakkemannskap bruker til feilsøking av avionikken. Denne porten er direkte koblet til Flight Management Computer (FMC) og cockpitens Multipurpose Control Display Unit (MCDU) via ARINC 429-bussen .

Forskernes spesialbygde enhet, som er omtrent på størrelse med en norsk femkrone, plugges inn i denne porten og skjules helt under det eksisterende støvdekselet. Den er dermed usynlig ved vanlig inspeksjon. Hele installasjonen tar under 60 sekunder .

Når enheten er på plass, bruker den en teknikk forskerne kaller «Bus Driver» – den sender signaler med høyere strøm for å overstyre ekte kommandoer som overføres mellom FMC og MCDU. Fordi ARINC 429-protokollen mangler både kryptering og autentisering, kan enheten avskjære, endre og injisere meldinger uten å bli oppdaget . Enheten har også en Wi-Fi-modul, slik at angriperen kan styre den på avstand via flyets ombordnettverk .

Spesifikke manipulasjoner enheten kan utføre

«Bus Driver»-enheten gir angriperen flere former for kontroll over flyets avionikk:

• Endre autopilotens veipunkter: Enheten kan gjøre små, gradvise endringer i flightplanens veipunkter. Over tid kan disse snikende modifikasjonene gradvis avlede flyet fra den planlagte ruten uten å utløse alarmer for piloten .
• Endre startparametre: Enheten kan endre kritiske innputtverdier som FMC bruker for å beregne startytelse, som flyets vekt og utetemperatur. Hvis FMC registrerer lavere vekt eller høyere temperatur enn virkeligheten, kan den beregne for lite skyvekraft for en trygg start .
• Forfalske pilotens skjermbilder: Samtidig korrumperer enheten dataene som vises på instrumentene i cockpiten, slik at endringene skjules. Piloten ser feilaktige, men plausible verdier, noe som gjør angrepet vanskelig å oppdage .

Mulige konsekvenser

Forskerne advarer om at disse egenskapene kan få alvorlige utfall:

• Utforkjøringer av rullebanen under start på grunn av manipulerte vekt-/temperaturverdier .
• Omdirigering av flyet til fremmed eller restriktivt luftrom .
• Katastrofale krasj i verste fall .

Boeings respons og tidslinje

Boeing uttalte at de er «trygge på at beskyttelseslagene som er på plass i flyet, inkludert systemdesign og driftsmiljø, gir tilstrekkelig beskyttelse til å begrense sannsynligheten og risikoen for reelle angrep betydelig» . Forskerne rapporterer imidlertid at Boeing ble varslet om deler av forskningen for over seks år siden, rundt 2020, og ikke har offentliggjort noen spesifikk teknisk løsning for å tette sikkerhetshullet .

Anbefalte tiltak

Forskerne foreslår både kortsiktige fysiske løsninger og mer langsiktige tekniske forbedringer:

Kortsiktige fysiske tiltak

• Fylle den eksterne vedlikeholdsporten med epoksy for å blokkere fysisk tilgang .
• Fjerne kontakten helt fra flyet .

Langsiktige programvare-/maskinvareløsninger

• Implementere programvarebasert deteksjon for å identifisere unormale signaler på avionikkbussen .
• Legge til kryptografisk autentisering for ARINC 429-kommunikasjon for å forhindre meldingsforfalskning .

Til tross for alvorlighetsgraden i demonstrasjonen understreker forskerne at de selv fortsetter å fly med Boeing 737. De krever ikke at flyene settes på bakken, men tar til orde for langsiktig bransjeplanlegging for å håndtere denne typen fysiske avionikkangrep .