Los coches actuales se parecen cada vez más a ordenadores sobre ruedas. Incorporan decenas de sistemas informáticos, permanecen conectados a Internet, reciben actualizaciones de software y pueden recopilar información sobre sus propietarios. Este nuevo desarrollo ofrece numerosas ventajas, pero también ha convertido al coche en un nuevo objetivo para los ciberdelincuentes y por ello pueden efectuar cualquier ciberataque.
El riesgo no se limita a los coches eléctricos ni depende exclusivamente del país donde se haya fabricado el vehículo. Los modelos modernos de gasolina, diésel, híbridos y eléctricos pueden incorporar sistemas conectados capaces de almacenar y transmitir información personal.
El debate ha vuelto a cobrar fuerza después de que un experto en ciberseguridad consiguiera acceder a diferentes funciones de un BYD Shark 6, un vehículo híbrido de fabricación china. Según la información recogida por la fuente, pudo controlar las cerraduras, los faros y sistemas de audio y vídeo del automóvil.
Sin embargo, este caso es solo un ejemplo de un problema que afecta al conjunto de los vehículos conectados.
Tu coche tiene decenas de ordenadores
Un automóvil moderno puede integrar decenas de unidades informáticas encargadas de funciones muy diferentes. Algunas gestionan el entretenimiento y las comunicaciones, mientras que otras intervienen en los frenos, la dirección, el funcionamiento del motor, los sensores o los sistemas de asistencia a la conducción.
A esto hay que sumar las conexiones con el exterior. Bluetooth y wifi permiten enlazar teléfonos y otros dispositivos, mientras que muchos modelos incorporan una tarjeta SIM o eSIM propia para conectarse a redes móviles, servicios en la nube y sistemas del fabricante.
También se han generalizado las actualizaciones OTA —over the air—, que permiten instalar nuevo software de forma remota. Esto significa que la seguridad ya no depende únicamente de proteger físicamente el automóvil: también hay que proteger los servidores, las comunicaciones y la infraestructura utilizada para distribuir software a miles de vehículos.
¿Qué puede conseguir un atacante?
Una brecha de seguridad podría tener consecuencias muy diferentes dependiendo del sistema afectado y de los permisos obtenidos.
Los investigadores ya han demostrado ataques contra diferentes tecnologías utilizadas por la industria. Se han encontrado debilidades durante pruebas realizadas sobre Tesla Model 3 y Cybertruck, mientras que otros trabajos han estudiado posibles ataques contra vehículos que utilizan el sistema operativo QNX. También se han utilizado vulnerabilidades de Bluetooth para obtener acceso profundo a sistemas de un Nissan Leaf.
Las consecuencias potenciales van más allá del robo de información. Un acceso suficientemente profundo podría generar riesgos físicos si alcanza sistemas como la iluminación o la dirección, además de facilitar determinados tipos de robo del vehículo o suplantación de identidad.
Esto no significa que cualquier ciberdelincuente pueda tomar el control completo de cualquier automóvil conectado. El alcance depende de la vulnerabilidad concreta, la arquitectura del vehículo y los sistemas que hayan quedado comprometidos.
Tu coche también sabe mucho sobre ti
La privacidad constituye otro de los grandes problemas. Los vehículos conectados pueden recopilar información sobre sus propietarios y transmitir parte de esos datos a servidores externos para almacenarlos o procesarlos.
Entre la información especialmente sensible se encuentran los historiales de desplazamientos y los datos de geolocalización. Las aplicaciones asociadas al automóvil pueden ofrecer además funciones remotas sobre puertas, climatización, claxon, luces y otros elementos.
Esto amplía el riesgo: un atacante interesado en el vehículo no necesariamente busca manipular sus sistemas de conducción. Los datos asociados al coche también pueden proporcionar información sobre los movimientos y hábitos de una persona.
El malware también llega a los coches
El interés de los ciberdelincuentes por estos sistemas ya no es únicamente teórico.
En agosto, Kaspersky documentó una campaña de malware dirigida contra unidades multimedia de vehículos que funcionaban con Android. El software malicioso llegaba mediante un servicio automático de actualización de firmware.
Este tipo de incidentes evidencia otro punto débil: la cadena de suministro. Los coches permanecen en circulación durante muchos años y pueden integrar tecnologías de numerosos fabricantes y proveedores.
Una vulnerabilidad no tiene necesariamente que encontrarse en el propio vehículo. Los atacantes también pueden buscar puntos débiles en su conexión móvil, los servicios telemáticos o la infraestructura en la nube del fabricante.
