Hackers nemen accounts van Li Auto over en eisen losgeld van eigenaren
Criminelen nemen in Rusland steeds vaker gebruikersaccounts over die gekoppeld zijn aan SUV's van de Chinese autofabrikant Li Auto. Ze eisen geld om de toegang te herstellen. In sommige gevallen blijven de schermen in de auto zwart, werkt de klimaatregeling niet meer of kan de auto niet meer worden gestart. Ook Sinomach Auto, de officiële Russische distributeur van Li Auto, heeft het probleem bevestigd.
De digitale sleutel is een middel tot afpersing geworden
Li Auto-voertuigen gebruiken een primair account van de eigenaar, een zogenoemd masteraccount. Daarmee zijn de deursloten, de klimaatregeling, het starten van de motor en diverse andere functies te bedienen.
Criminelen nemen het account over, wijzigen de inloggegevens en eisen ongeveer €400 tot €500 van de eigenaar om de controle terug te krijgen.
Volgens vertegenwoordigers van de vereniging van Li Auto-eigenaren zijn er minstens 20 slachtoffers bekend, maar het werkelijke aantal kan hoger liggen.
Soortgelijke aanvallen vonden al in de zomer van 2025 plaats, maar toen bedroeg het geëiste losgeld ongeveer €2.000 tot €2.500. Het lagere bedrag nu doet vermoeden dat criminelen mogelijk meer autobezitters tegelijk proberen te treffen.
Hoe de aanvallen precies verlopen, is nog onduidelijk. Gestolen wachtwoorden, gelekte persoonsgegevens en gevallen waarin eigenaren derden toegang tot hun accounts hebben gegeven, worden onderzocht als mogelijke oorzaken.
Het probleem treft vooral auto's die uit China zijn geïmporteerd
De gebruikersaccounts van veel Li Auto-voertuigen zijn gekoppeld aan Chinese telefoonnummers. Buiten China gebruiken eigenaren vaak virtuele nummers, bijvoorbeeld via de dienst eSender.
Het registreren van het telefoonnummer op naam van de eigenaar gold eerder als voldoende bescherming, maar criminelen zijn er inmiddels ook in geslaagd accounts over te nemen die gekoppeld zijn aan geldige nummers waarvan de registratie in orde is.
Volgens Sinomach Auto ontwikkelt Li Auto een nieuw systeem om de identiteit van eigenaren te verifiëren en accounts te herstellen. Als een van de oplossingen wil de fabrikant gebruikersaccounts niet langer aan Chinese telefoonnummers, maar aan e-mailadressen koppelen.
Deze mogelijkheid is al beschikbaar voor voertuigen van modeljaar 2026. De nieuwe beveiligingsmaatregelen zullen naar verwachting in de toekomst ook gelden voor auto's die buiten de officiële kanalen zijn geïmporteerd, maar een precies tijdschema is niet bekendgemaakt.
Kan dit ook in Europa gebeuren?
De kwestie is ook relevant voor Europese autobezitters, omdat er op de Europese markt Li Auto-voertuigen zijn die rechtstreeks uit China zijn geïmporteerd.
Als het masteraccount van een auto afhankelijk is van een telefoonnummer uit een ander land of van een externe dienst, kan het lastig zijn om de toegang te herstellen. De situatie is vooral problematisch als onafhankelijke dienstverleners zijn ingeschakeld om de software van de auto aan te passen.
Er zijn echter geen aanwijzingen dat criminelen zijn binnengedrongen in de regeleenheden van Li Auto-voertuigen. De tot nu toe gemelde gevallen betreffen de overname van gebruikersaccounts, niet het rechtstreeks hacken van de auto.
De zaak rond Li Auto laat een van de grote zwakke punten van verbonden auto's zien: het gebruik van een auto kan afhangen van een digitaal account waarover de eigenaar de controle verliest. Auto's die afhankelijk zijn van authenticatiesystemen die voor een andere markt bedoeld zijn, brengen een bijzonder groot risico met zich mee.
