Muntstukgroot apparaat kraakt autopiloot Boeing 737 in 60 seconden

Op 13 augustus 2026 presenteren onderzoekers van de University of California, San Diego en Oberlin College op de Usenix Cybersecurity Conference een hacktechniek waarmee de autopiloot van een Boeing 737 kan worden overgenomen met behulp van een apparaat ter grootte van een muntstuk met Wi-Fi.

Het apparaat, gebouwd voor minder dan 100 dollar, kan in minder dan een minuut worden geïnstalleerd via een extern toegankelijke poort op het vliegtuig. Eenmaal aangesloten stuurt het elektrische signalen op het interne netwerk van het vliegtuig om commando's te vervalsen naar de Flight Management Computer en de Multipurpose Control Display Unit.

Hierdoor kan een aanvaller de navigatie van de autopiloot omleiden of variabelen zoals gewicht en buitenluchttemperatuur vervalsen, terwijl de wijzigingen verborgen blijven voor het scherm van de piloot. Dergelijke valse gegevens kunnen tijdens het opstijgen leiden tot een overshoot van de landingsbaan of een vlucht naar het luchtruim van een ander land leiden, met mogelijk een crash tot gevolg.

Het onderzoek, geleid door UCSD-professoren Stefan Savage en Aaron Schulman, begon meer dan tien jaar geleden. Het team kocht voor tienduizenden dollars aan tweedehands 737-onderdelen om een avionica-testopstelling te bouwen, genaamd Triton, die in 2019 werd geassembleerd. Student Sam Crowe ontdekte later een specifieke poort – alleen beschermd door een ongeopend luik – die verbinding maakt met een kritieke databus. Door elektrische signalen met een hogere stroomsterkte te sturen, kon Crowe legitieme commando's overschrijven, een techniek die 'Bus Driver' wordt genoemd.

Boeing werd voor het eerst geïnformeerd in het voorjaar van 2020 en werkte samen met de onderzoekers, zelfs door testen in hun laboratorium toe te staan. In een verklaring aan WIRED bagatelliseerde Boeing echter het risico, door te zeggen dat de beschermingslagen 'voldoende mitigatie bieden om de haalbaarheid en het risico van aanvallen in de echte wereld aanzienlijk te beperken'. De onderzoekers zeggen dat Boeing geen technische oplossing heeft bekendgemaakt, en ze vermoeden dat updates jaren op zich kunnen laten wachten vanwege de infrequente herontwerpen van vliegtuigen.

De onderzoekers stellen onmiddellijke oplossingen voor, zoals het afdichten van de poort met epoxy of het verwijderen ervan, en oplossingen op lange termijn zoals softwarematige beveiliging, elektrische isolatie of cryptografische authenticatie. Ze benadrukken dat ze zelf zullen blijven vliegen met 737's en niet oproepen om vliegtuigen aan de grond te houden, maar benadrukken de noodzaak van verbeterde operationele beveiliging.

Cybersecurity-consultant Beau Woods, die het werk beoordeelde en adviseur is van de Cybersecurity and Infrastructure Security Agency en lid van Boeing's Industry Cyber Technical Council, zei dat het papier 'solide empirisch bewijs levert over enkele realistische scenario's voor zeer capabele tegenstanders'. Woods voegde eraan toe dat dreigingsmodellen moeten evolueren met de voortschrijdende technologie.