Desde que existen los vehículos conectados a Internet, los piratas informáticos han intentado acceder a ellos. Varios lo han conseguido. Y su número no deja de crecer.
En 2010, unos investigadores de la Universidad de California en San Diego y de la Universidad de Washington demostraron cómo los piratas informáticos podían acceder a un Chevrolet Impala del 2009 a través de su sistema de seguridad a bordo OnStar. Una vez dentro, pudieron controlar los frenos y escuchar a escondidas las conversaciones que tenían lugar en el interior del coche.
Cinco años después, los investigadores en seguridad Charlie Miller y Chris Valasek tomaron el control de forma remota de un Jeep Cherokee del año 2014 con el reportero de Wired Andy Greenberg al volante. Al aprovechar una vulnerabilidad en la conexión móvil del coche, lograron apagar el motor, desactivar los frenos y tomar el control de la dirección desde una distancia de 10 millas. (Posteriormente, Chrysler lanzó una campaña de retirada que afectaba a 1.4 millones de vehículos que presentaban dicho defecto.)
Y a finales de 2021, David Colombo , un investigador de 19 años, pirateó más de dos docenas de vehículos Tesla en 13 países desde su domicilio en Múnich, Alemania. Pudo controlar las cerraduras, las luces y la temperatura, además de averiguar la ubicación de un coche y la dirección de correo electrónico de su propietario.
El ataque informático a Jeep supuso una seria llamada de atención para los fabricantes de automóviles y los proveedores del sector, que comenzaron a tomarse la ciberseguridad mucho más en serio. «En lo que respecta a los sistemas críticos del vehículo, se ha avanzado mucho desde el curso 2015», afirma Jennifer Tisdale, directora ejecutiva de GRIMM, empresa que ayuda a los proveedores del sector del automóvil a identificar y mitigar las vulnerabilidades de seguridad. «¿Queda aún un buen trecho por recorrer? «Por supuesto».
Las grandes preguntas de Tisdale se refieren a la seguridad a largo plazo: ¿qué ocurre una vez que un vehículo sale del concesionario y circula por la vía pública durante años? Cuando se detecten vulnerabilidades, ¿publicarán los fabricantes de automóviles sin demora parches de software ? ¿Y serán los particulares y las empresas más rigurosos a la hora de mantener sus coches al día de lo que lo han sido con sus ordenadores
o sus teléfonos?
«Aún no tenemos una respuesta para eso», advierte.
La amenaza de los ataques informáticos al sector de la automoción afecta a todo el mundo, incluidos, y especialmente, a los operadores de vehículos comerciales, cuyas flotas podrían quedar secuestradas, lo que les supondría un coste de millones debido al tiempo de inactividad y a los pagos de rescate . O, lo que es peor, un adversario podría apoderarse de un vehículo de la empresa y convertirlo en un arma, poniendo en peligro la reputación —y la vida de las personas— en el proceso.
A continuación, le explicamos lo que los empresarios deben saber sobre el creciente riesgo de ciberataques en el sector de la automoción.
Los «black hats» al ataque
A lo largo de la historia, los investigadores en materia de seguridad y los denominados «hackers de sombrero blanco», que colaboran con la industria, han descubierto la mayoría de las vulnerabilidades en materia de ciberseguridad del sector de la automoción. Pero eso está empezando a cambiar.
«. Los hackers se fijan en aquellos ámbitos en los que pueden obtener beneficios económicos, ya sea mediante ataques de ransomware contra flotas o mediante el robo de datos confidenciales.»
En 2021, los actores maliciosos llevaron a cabo casi el 57 % de los 240 ataques conocidos contra el sector de la automoción, según el informe anual « : Global Automotive Cybersecurity Report» de Upstream Security, disponible en. Esto supone un aumento con respecto a poco menos del 50 % anterior, hasta alcanzar el 2020 %.
Según el informe, los incidentes registrados en 2021 presentaban las siguientes características:
- El 85 % de los casos de « » implicaban el acceso remoto a un vehículo.
- El 40 % de los casos de « » consistieron en filtraciones de datos de servidores que se comunican con vehículos conectados.
- El 24 % de los « » se hicieron con el control remoto de importantes sistemas de los vehículos, a menudo a través de aplicaciones móviles. (El hacker de Tesla, Colombo, consiguió acceder a través de TeslaMate, una aplicación de terceros.)
«Los piratas informáticos se centran en aquellos ámbitos en los que pueden obtener beneficios económicos, ya sea mediante ataques de ransomware contra flotas de vehículos o el robo de datos confidenciales, como los datos de facturación de los clientes procedentes de estaciones de recarga de vehículos eléctricos que han sido pirateadas», afirma Guy Molho, vicepresidente de productos de Upstream, cuya tecnología de seguridad está instalada en más de 10 millones de vehículos en todo el mundo. «La regla general es sencilla: se centrarán en conseguir la mayor remuneración posible».
Los ataques de ransomware contra flotas son la principal preocupación de los investigadores de GRIMM, señala Tisdale. En los últimos años ya se han producido múltiples ataques contra empresas de transporte por carretera, aunque casi todos se han centrado en los sistemas administrativos de gestión de flotas. Aunque no se han registrado ataques directos contra vehículos, estos constituyen una de las principales preocupaciones del sector del transporte por carretera de Estados Unidos, cuyo volumen de negocio asciende a casi 800 000 millones de dólares.
Una superficie de ataque cibernético de gran envergadura
Los vehículos conectados a Internet y autónomos son especialmente vulnerables a los ataques debido a la enorme complejidad de sus sistemas de software.
Los coches modernos cuentan con entre 40 y 150 unidades de control electrónico (ECU), unos chips informáticos que controlan todo, desde la temperatura en el interior del habitáculo hasta el frenado automático cuando ese camión de 18 ruedas que va delante de usted se detiene de golpe con un chirrido. El software que se ejecuta en estas ECU consta de
, , más de 100 millones de líneas de código —una cantidad de código muchas veces superior a la que se encuentra, por ejemplo, en el caza F-35 Joint Strike Fighter de la Fuerza Aérea de los Estados Unidos—.
Los vehículos también constituyen un objetivo que genera una gran cantidad de datos. Los vehículos conectados y autónomos generan enormes cantidades de datos. (Las estimaciones oscilan entre 300 gigabytes y 32 terabytes al día.) Se trata de un auténtico tesoro de información sobre la ubicación de los conductores, sus hábitos al volante, los datos de facturación y el rendimiento de los vehículos, que los atacantes podrían utilizar para extorsionar o poner en evidencia a empresas y a personas de alto perfil.
[Lea también: 5 pasos para proteger los datos más valiosos de su organización, según los expertos]
Los vehículos más vulnerables a los ataques son aquellos que cuentan con interfaces externas, como mandos a distancia, sistemas telemáticos, sistemas de entretenimiento y aplicaciones de terceros, señala Slava Bronfman, director ejecutivo y cofundador de Cybellum. Su plataforma permite a los proveedores del sector del automóvil crear gemelos digitales —simulaciones virtuales de automóviles y sus componentes— que pueden analizarse en busca de vulnerabilidades desde su diseño inicial y a lo largo de todo el ciclo de vida del vehículo.
«Los delincuentes buscan atacar los vehículos que cuentan con menos protecciones», añade Tisdale, de GRIMM. En 2015, se trataba del propio coche o camión. Hoy en día, se trata de todo el entorno en el que operan los vehículos, lo que incluye los servidores, los satélites y las antenas de telefonía móvil con los que se comunican, así como infraestructuras como semáforos inteligentes, sensores integrados en la calzada y estaciones de recarga.
Es hora de regular
El sector informático se percató relativamente pronto de que compartir información es esencial para identificar y mitigar las amenazas a la seguridad. Por eso se creó el Equipo de Respuesta a Emergencias Informáticas de EE. UU. (US-CERT) y por eso existen bases de datos como la lista de vulnerabilidades y exposiciones comunes (CVE) de Mitre, « » .
«. Se han invertido miles de millones en estas tecnologías y no hay vuelta atrás.»Jennifer Tisdale, directora ejecutiva de GRIMM
Los fabricantes y proveedores de automóviles se han mostrado tradicionalmente reacios a compartir información con la competencia. La situación comenzó a cambiar en 2015 , cuando el sector creó el Centro de Intercambio y Análisis de Información del Sector Automovilístico (Auto-ISAC). Aun así, según Tisdale, las vulnerabilidades de seguridad siguen siendo un tema delicado para muchos en el sector.
Sin embargo, las nuevas normativas de la Comisión Económica para Europa de las Naciones Unidas (CEPE) están obligando a los fabricantes de automóviles a reforzar sus medidas de ciberseguridad. La normativa establece requisitos de ciberseguridad , de rendimiento y de auditoría para todos los nuevos modelos de vehículos comercializados en 2022 y para todas las matriculaciones de vehículos nuevas a partir de 2024, señala Niranjan Manohar, director de consultoría para vehículos conectados y el Internet de las cosas (IoT) en el sector de la automoción de la consultora Frost & Sullivan. Aunque Estados Unidos no figura entre los 54 países miembros de la CEPE, los fabricantes de automóviles estadounidenses deberán cumplir sus normas si desean vender automóviles en los países que sí forman parte de ella.
La introducción de la normativa supone un paso importante, afirma Bronfman, pero aún queda mucho por hacer. «Aunque los fabricantes de equipos originales (OEM) y los proveedores han comenzado a trabajar en el cumplimiento normativo, a menudo se sigue considerando un requisito que hay que cumplir, en lugar de un medio para hacer que los vehículos sean a prueba de ciberataques», añade.
«No será fácil», advierte Manohar. «La escasa experiencia técnica y los enormes costes iniciales que conlleva la puesta en marcha de nuevos procesos supondrán un reto para la implementación interna por parte de los fabricantes de equipos originales», afirma. En consecuencia, los principales fabricantes de automóviles y proveedores están estableciendo colaboraciones con empresas de seguridad como GRIMM, Upstream y Cybellum, entre otras.
¿Hay que ser tonto para ser inteligente?
Frost & Sullivan prevé que el 86 % de los coches que salgan de las cadenas de montaje en 2025 estarán conectados a Internet. Además, casi todos los coches vendidos en los últimos años incorporan algún tipo de tecnología de asistencia a la conducción automatizada que podría ser objeto de un ataque, como el control de crucero adaptativo o la dirección sin manos.
Si aún no utiliza un coche o un camión conectado o semiautónomo, es posible que pronto lo haga. Sin embargo, las opciones de que dispone para protegerlos son mínimas: no puede descargar su propio software para proteger su iPhone mientras viaja, y tampoco podrá cerrar sesión.
Las empresas del sector de la automoción seguirán proporcionando actualizaciones de su software de seguridad y de otros programas internos, afirma Manohar. Pero, ¿hasta qué punto serán seguras estas actualizaciones? ¿Podrán las empresas llevar a cabo una actualización completa del firmware de forma inalámbrica (OTA) de ? ¿Se dejarán engañar los consumidores o los empleados de las empresas hasta el punto de aceptar actualizaciones maliciosas, tal y como suele ocurrir con sus ordenadores? Según él, se trata de problemas que los fabricantes de automóviles y los proveedores aún deben resolver.
Las empresas que posean o gestionen flotas conectadas deberán aplicar las mismas o mejores políticas de ciberseguridad , de higiene cibernética y de gestión de parches que las que aplican a sus demás activos digitales, y vigilar de cerca las nuevas amenazas a medida que surjan.
Molho, de Upstream, considera que, en el futuro, los consumidores y las empresas basarán sus decisiones de compra de turismos y camiones, en parte, en las características de seguridad, lo que obligará a los fabricantes a adaptarse. Bronfman recomienda que la industria del automóvil adopte un sistema de clasificación de ciberseguridad, similar a las clasificaciones de seguridad « » de la Administración Nacional de Seguridad del Tráfico en Carreteras (NHTSA).
Hasta entonces, las empresas y los consumidores deben hacer todo lo que esté en su mano para protegerse.
«En la comunidad de hackers tenemos un dicho: “Es una tontería ser inteligente”», afirma Tisdale. «Ahora contamos con coches inteligentes, ciudades inteligentes y sistemas de transporte inteligentes. Se han invertido miles de millones en estas tecnologías, y ya no hay vuelta atrás. Así pues, la pregunta es: «¿Cómo podemos trabajar de forma conjunta para garantizar la seguridad?»
