Volkswagen, uno de los mayores fabricantes de automóviles del mundo, se enfrenta una crisis de ciberseguridad tras la exposición de datos de aproximadamente 800.000 coches eléctricos de sus marcas VW, Seat, Audi y Skoda. Esta brecha en la seguridad, atribuida a un error de configuración en las aplicaciones de TI de Cariad—la filial de software automotriz de Volkswagen—ha puesto en riesgo información sensible, incluyendo nombres de conductores y datos de geolocalización precisos.
La información comprometida se almacenaba en la nube, concretamente en servidores de Amazon Cloud y permaneció desprotegida durante meses, lo que permitió a cualquiera con conocimientos técnicos mínimos acceder a los datos. Los investigadores descubrieron que era posible rastrear los movimientos de los conductores o recopilar detalles personales sin necesidad de permisos avanzados.
De los 800.000 vehículos afectados, 460.000 incluían datos de geolocalización extremadamente precisos, en algunos casos con una exactitud de 10 centímetros. Esta situación planteó serias preocupaciones sobre la privacidad y la seguridad, especialmente para vehículos vinculados a figuras públicas, como políticos y miembros de cuerpos policiales.
La alerta del Chaos Computer Club
El problema fue identificado por el Chaos Computer Club (CCC), una organización de hackers éticos en Europa, que recibió la alerta de un informante anónimo. Tras confirmar la vulnerabilidad y documentarla, el CCC notificó a Cariad el 26 de noviembre. La compañía reaccionó con rapidez, cerrando el acceso en el mismo día y asegurando los datos expuestos.
Según el CCC, el acceso a los datos requirió superar varios mecanismos de seguridad, lo que implicó tiempo y conocimientos técnicos significativos. No obstante, periodistas y expertos del medio alemán Spiegel lograron identificar información relacionada con políticos alemanes utilizando herramientas disponibles gratuitamente.
Datos comprometidos: ubicaciones y nombres de propietarios
El acceso no autorizado permitió obtener coordenadas exactas de la posición de los coches cuando el motor estaba apagado. Mientras que los modelos de VW y Seat ofrecían una precisión de 10 centímetros, los datos de Audi y Skoda eran menos precisos, con un margen de 10 kilómetros. Aun así, la situación expuso datos que podrían usarse de manera malintencionada.
Además, los investigadores encontraron información de alrededor de 300.000 vehículos en Alemania, mientras que el resto se distribuyó entre otros países europeos, incluidos Noruega, Suecia, Reino Unido, Países Bajos, Francia, Bélgica y Dinamarca. Este alcance internacional subraya la magnitud del incidente.
Reacción rápida y medidas preventivas
Cariad emitió un comunicado destacando su rápida respuesta tras ser notificados por el CCC. La compañía aseguró que no existen evidencias de que terceros, aparte de los éticos hackers del CCC, hayan accedido a los datos o los hayan utilizado de manera indebida.
Entre las medidas implementadas por Cariad se incluyen el refuerzo de las configuraciones de seguridad, la revisión de los protocolos de acceso a la nube y la sensibilización sobre las mejores prácticas en ciberseguridad. Además, Volkswagen enfatiza que los clientes pueden desactivar la recopilación de datos en cualquier momento, aunque advierte que esto podría limitar ciertas funciones digitales y personalizadas.
Este incidente subraya los riesgos inherentes a la digitalización del sector automotriz. La recopilación de datos de vehículos conectados es clave para el desarrollo de nuevas tecnologías, como baterías mejoradas y software de carga optimizado. Sin embargo, también plantea preguntas sobre cómo se protege la privacidad de los usuarios y se asegura la integridad de sus datos, que son muchos y almacenados en los vehículos.
Volkswagen asegura que los datos recopilados se almacenan de manera que protege la identidad del cliente y cumplen con las normativas legales vigentes. Sin embargo, este incidente destaca la necesidad de fortalecer aún más las medidas de seguridad y garantizar que las vulnerabilidades sean detectadas y solucionadas antes de que puedan ser explotadas.
