Sikkerhet i smarthus – Undersøkelse av produkter på det norske markedet

Da Russland invaderte Ukraina den 24. februar 2022, ble satellittbredbåndet KA-SAT rammet av et hackerangrep. Målet var sannsynligvis å ramme Ukrainsk kommunikasjon, men 5800 vindmøller i Tyskland ble også slått ut. Hendelsen viser hvordan sikkerhetssvikt i tingenes internett kan få uforutsette og fysiske ringvirkninger.

Tingenes internett har også gjort sitt inntog i hjemmet, og omtales da ofte som smarthus-teknologi. Alt fra leketøy og dørklokker til helse- og velferdstjenester og ladeinfrastruktur kobles på nettet.

Denne rapporten tar for seg sikkerhetsutfordringer i smarthus. I samarbeid med sikkerhetsselskapet Mnemonic har vi undersøkt mobilapplikasjonene til hundre smarthus-produkter som selges på det norske markedet.

De viktigste funnene:

• Nesten alle norske hus er smarte: 9 av 10 av husstandene har ett eller flere smarthus-produkter. Andelen husholdninger som har robotstøvsuger har tredoblet seg siden 2019. Smarte elbil-ladere og app-styrt lys og varme er også svært utbredt.
• Produktene samler inn detaljert informasjon om brukerne: Sensorer fanger opp mye av hva som skjer i omgivelsene. Appene som styrer smarthus-produktene kan være sårbare, og ber om tilgang til mye informasjon, som lokasjon, kontaktliste og aktivitet på telefonen.
• Data sendes til servere i hele verden: 100 apper kommuniserer med 3000 adresser i 29 land. Data sendes fortrinnsvis til skytjenester fra store amerikanske selskaper, men også til Kina og ulike land i Europa. Flere av produktene deler brukerdata med tredjeparter til markedsføringsformål.
• Kinesiske produkter er utbredt, men har lav tillit: Kinesiske produsenter er store på smarthus-markedet, og markedsføres ofte under norske eller nordiske merkevarenavn. I spørreundersøkelsen oppgir 55 prosent at de stoler lite på sikkerheten i kinesiske produkter, mens bare 7 prosent har lav tillit til norske selskaper.
• Sikkerhetssvikt kan få fysiske konsekvenser: Et digitalt angrep på elbil-ladere kan slå ut strømnettet. Svikt i varmesystemer, dørlåser og utstyr som brukes i eldreomsorgen (velferdsteknologi) kan også få alvorlige konsekvenser.
• Manglende oppdatering: 3 av 10 apper har ikke blitt oppdatert på 6 måneder eller mer, og enkelte av appene har ikke blitt oppdatert på mer enn 2 år. Det gir stor risiko for sikkerhetshull.

I rapporten peker vi på noen tiltak som innbyggerne kan gjøre for å bedre egen sikkerhet, og hva bedrifter og myndigheter bør gjøre.

Rapporten er skrevet som del av forskningsprosjektet Relink, som koordineres av Forbruksforskningsinstituttet SIFO ved OsloMet. Prosjektet tar utgangspunkt i at tilkoblet teknologi i hjemmene kan medføre sikkerhetsrisikoer for samfunnet som helhet. Målet er å gi innbyggerne bedre oversikt over sårbarheter og verktøy for å kunne vurdere sin egen risiko, slik at sårbarheten i hjemmene reduseres.