Los ladrones no tienen por qué romper las ventanillas para forzar la entrada a su coche. Mediante una técnica denominada « RollBack» (), conseguir acceso ya es tan sencillo como utilizar un dispositivo portátil para grabar al propietario pulsando el mando a distancia para bloquear y desbloquear las puertas y, a continuación, reproducir esa grabación para abrir el coche.
Esa es una de las cosas que aprendí este verano, cuando un grupo de amigos de la universidad y yo participamos en el desafío «Capture the Flag » (CTF) del Car Hacking Village de la « » en DEF CON 30.
Para que quede claro, no estábamos cometiendo ningún delito. Éramos uno de los numerosos equipos que intentaban piratear coches virtuales, o «en la nube». Competimos para conseguir banderas realizando tareas como leer el número de identificación del vehículo (VIN), abrir puertas o activar el airbag, todo ello a través del bus de la red de área de controladores (CAN), que permite que los microcontroladores y los dispositivos se comuniquen entre sí sin necesidad de un ordenador central.
No conseguimos activar el airbag, pero encontramos el número de identificación del vehículo (VIN) y obtuvimos buenos resultados en otros retos, como el acceso al Bluetooth, un vector de ataque de tipo « » que a menudo se pasa por alto. Al final, este año nos ha complacido quedar en séptimo lugar entre los casi 100 participantes.
Vulnerabilidades que buscan los ladrones
Cómo leer el número de identificación del vehículo (VIN) y piratear el mando a distancia
La seguridad del número de identificación del vehículo (VIN) es importante. Esos códigos tan largos son como los números de la Seguridad Social de los coches. Del mismo modo que alguien podría utilizar un número de la Seguridad Social para suplantar cuentas y sustraer bienes, los números de identificación del vehículo (VIN) pueden utilizarse para volver a matricular un vehículo a nombre del ladrón, presentar una reclamación al seguro o fabricar matrículas falsas que puedan colocarse en un automóvil robado.
Otra vulnerabilidad de seguridad analizada en DEF CON fue la posibilidad de que los ciberdelincuentes piratearan los mandos a distancia de los vehículos. En la actualidad, al menos el 91 % de los coches vendidos utilizan sistemas de arranque sin llave que se basan en la tecnología de los mandos a distancia. Estos dispositivos de control remoto contienen chips de identificación por radiofrecuencia (RFID) y antenas para comunicarse con el coche. Pulse un botón y se abrirán las puertas. Pulse otro botón y el coche arrancará.
Los mandos a distancia son muy prácticos. Pero, ¿hasta qué punto son seguras? La respuesta es: «en cierta medida».
Cualquier dispositivo inalámbrico y conectado es vulnerable a los ataques, y el hardware y el software subyacentes suelen presentar vulnerabilidades que pueden ser explotadas. Por ejemplo, los ciberdelincuentes llevan varios años siendo capaces de aprovechar las vulnerabilidades de seguridad que existen en los dispositivos con conexión por radio que muchos coches utilizan para comunicarse con los mandos a distancia. Si lo consiguen, los piratas informáticos pueden clonar esas claves digitales y hacerse con el vehículo en cuestión de segundos.
De hecho, al parecer, 2020 investigadores de Bélgica han detectado vulnerabilidades en vehículos de Toyota, Hyundai y Kia que podrían hacer que eso se convirtiera en una realidad. Más recientemente, un investigador de Austria habría demostrado cómo una actualización de Tesla podría permitir a los piratas informáticos crear su propia clave durante el periodo de 130 segundos posterior al desbloqueo del vehículo, utilizando un chip informático de comunicación de campo cercano (NFC). Y en agosto, en Black Hat, la conferencia hermana de DEF CON, los investigadores demostraron lo fácil que resultaba burlar las limitadas funciones de seguridad de un llavero electrónico.
Los fabricantes de automóviles saben que los sistemas de arranque sin llave son vulnerables a los ataques, ya que ya se están produciendo robos. En 2020, al menos el 93 % de los vehículos recuperados por Tracker, un sistema de recuperación de vehículos robados del Reino Unido, fueron sustraídos mediante ataques de retransmisión. En estos ataques, los delincuentes utilizan dispositivos electrónicos para interceptar la señal que emite un mando a distancia.
Los ladrones de coches se acercan lo más posible al mando a distancia que se encuentra dentro de su vivienda. Otro ladrón se sitúa junto a su vehículo para recibir la señal retransmitida, abre el coche y, a continuación, lo pone en marcha. (Vea este vídeo para comprobar cómo funciona.) Dicho esto, es posible que los desafortunados ladrones no puedan arrancar el coche sin el mando original, según la Asociación Americana del Automóvil.
¿Y si...?
Cada año se roban millones de turismos. Pero, ¿qué impide que los piratas informáticos roben vehículos de las flotas corporativas y de los aparcamientos de servicios de transporte compartido de forma masiva?
Para que quede claro, gran parte de la actividad actual relacionada con la piratería informática en los vehículos la llevan a cabo investigadores de seguridad responsables como yo, cuyo objetivo es ampliar los límites de la seguridad de los vehículos. Y, para ser justos, los fabricantes de automóviles se han esforzado mucho por garantizar la seguridad de sus vehículos y cada vez lo hacen mejor.
«¿Qué impide que los piratas informáticos roben vehículos de flotas corporativas y de aparcamientos de servicios de transporte compartido de forma masiva?»
Sin embargo, eso no significa que los piratas informáticos no vayan a conseguir lo que se propongan en algún momento, dada la complejidad de los vehículos modernos. Tal y como explica Endpoint en un artículo de sobre ataques informáticos en el sector de la automoción, los vehículos pueden llegar a contener hasta 150 unidades de control electrónico (ECU), unos chips informáticos que gestionan todo, desde el encendido y el frenado automático hasta los sistemas de climatización y de infoentretenimiento. Estos chips se utilizan cada vez más en sistemas conectados a través de la nube. De hecho, para el año 2025, se prevé que el 86 % de los coches que salgan de las cadenas de montaje estén totalmente conectados, según la consultora Frost & Sullivan.
Seguir adelante
Los conductores deben actuar con precaución al utilizar los mandos a distancia, tanto en la carretera como fuera de ella. Entre los métodos más seguros se incluyen utilizar la llave metálica que hay dentro del mando a distancia siempre que sea posible, o bien proteger el propio mando a distancia guardándolo en una caja que bloquee los campos electromagnéticos.
Mientras tanto, los fabricantes de automóviles deberían seguir colaborando con los investigadores para garantizar el futuro de los vehículos. Saben que el hardware y el software de los vehículos son cada vez más complejos y están cada vez más conectados, por lo que resultan más vulnerables a los ataques. Las deficiencias podrían hacerse aún más evidentes a medida que los vehículos autónomos salgan a las carreteras y dependan de la tecnología conectada para la navegación.
No hay respuestas sencillas. No obstante, los fabricantes de automóviles deberían reforzar las medidas de seguridad en el sector del automóvil, como los sistemas de detección de intrusiones (IDS) y los sistemas de prevención de intrusiones (IPS), que detectan los ataques externos y protegen contra ellos. (CanBusHack, ; Escrypt,; ; Vector,; ; Intrepid Control Systems,; y otras empresas especializadas en investigación sobre seguridad automovilística.)
Los fabricantes de automóviles también deberían seguir ampliando las colaboraciones sectoriales destinadas a maximizar la seguridad de los vehículos, siguiendo el ejemplo del Consejo Asesor BlackBerry IVY de la Asociación de Fabricantes de Automóviles ( ), una iniciativa del sector para impulsar el desarrollo de tecnologías que protejan los datos a bordo de los vehículos. (Entre los socios del Consejo se encuentran Here Technologies, Cerence, Telus, Geico y AWS.)
La seguridad de los vehículos de motor debe seguir siendo una prioridad para todos. Si un «hacker» aficionado como yo es capaz de piratear coches y hacerse con el control de los datos y los sistemas, también pueden hacerlo los ciberdelincuentes más malintencionados y decididos. Debemos mantenernos alerta para atajar lo que probablemente seguirá siendo una amenaza constante con el paso del tiempo.
