Si te asomas periódicamente a los datos de ventas de vehículos nuevos en regiones como la Unión Europea, esto no te va a sorpender: La transición hacia el vehículo eléctrico continúa a gran velocidad en Europa, con más de 1,22 millones de coches eléctricos matriculados en el primer semestre de 2026 según datos de ACEA. Este crecimiento, como es obvio, exige ir acompañado de una red de recarga cada vez más amplia y accesible; algo que también, en mayor o menor medida se está cumpliendo. Lo que parece que no avanza al mismo ritmo es la seguridad digital de estas infraestructuras.
Una investigación reciente de la firma Flare, que analizó 1.000 puntos de recarga accesibles por Internet en 56 países, ha revelado que el 72% aceptaba conexiones sin ningún tipo de cifrado. En la práctica, esto significa que los datos de autenticación, las órdenes de sesión y los accesos a sistemas de pago circulaban en claro, sin protección, en la mayoría de los terminales observados.
Europa concentra una parte significativa de esta exposición. Alemania encabeza la lista con 234 terminales accesibles, seguida de Estados Unidos con 148. Francia aparece en tercera posición con 63 y China con 46 -no hay mención a España, pero las conclusiones seguramente también sean extrapolables a nuestro país-.
Flare matiza que estas cifras no representan el número real de cargadores vulnerables, sino la superficie de gestión expuesta: un mismo sistema puede controlar decenas de puntos de recarga y la ubicación detectada corresponde a la dirección IP del servidor, no a la estación física. Aun así, la tendencia es clara: la región con mayor despliegue de infraestructura es también la que muestra más vectores abiertos a posibles ataques.
El origen del problema se encuentra en el protocolo que articula la comunicación entre las estaciones y sus sistemas de gestión, el conocido como OCPP. Su versión más extendida, OCPP 1.6, lanzada en 2015, no incorpora cifrado de manera nativa. Si el operador no añade capas adicionales -como un túnel VPN, es decir una red virtual privada, o una conexión celular aislada- el tráfico viaja sin protección. Las versiones más recientes, OCPP 2.0.1 y 2.1, sí integran un sistema de certificados que garantiza la autenticidad de los mensajes, pero Flare apenas las ha detectado en su análisis. La renovación de hardware es lenta y la retrocompatibilidad -es decir, que se pueda aplicar a modelos más veteranos- no siempre está garantizada, lo que retrasa la adopción de estándares más seguros.
La investigación también identifica una concentración tecnológica que amplifica el riesgo. Tres plataformas de gestión representan aproximadamente un tercio de los terminales analizados. El sistema open source SteVe acumula 216 puntos, de los cuales 167 carecen de cifrado; otra pila de software suma 66, todos sin TLS; y una tercera, 58, igualmente sin protección. Cuando una configuración insegura se replica por defecto en múltiples despliegues, cualquier vulnerabilidad puede multiplicarse de forma exponencial.
Como nos recuerdan los expertos del Área Técnica de la empresa EUROCYBCAR -cuya CEO y fundadora es Azucena Hernández– Los incidentes registrados en los últimos años demuestran que el riesgo ya no es teórico. En 2024 se localizaron en foros del dark web unos 116.000 registros procedentes de una aplicación de recarga utilizada en ocho países.
Incluían nombres, direcciones, identificadores de vehículos, claves de acceso y la ubicación exacta de estaciones. La combinación de datos personales y control remoto de equipos convierte a las redes de recarga en un objetivo atractivo para actores maliciosos, tanto por el valor de la información como por la posibilidad de interrumpir servicios esenciales o comprometer sistemas de pago.
En España, donde la infraestructura pública y privada de recarga está creciendo de forma acelerada, el problema es, como hemos sugerido, perfectamente aplicable. La coexistencia de operadores grandes y pequeños, la diversidad de plataformas de gestión y la presión por desplegar puntos de recarga rápidamente pueden reproducir los mismos patrones de exposición detectados por Flare. Las medidas necesarias -cifrado TLS generalizado, migración a OCPP 2.0.1, retirada de interfaces de gestión del Internet público, segmentación de redes y monitorización continua- son conocidas, pero requieren inversión, coordinación y una estandarización que aún no es homogénea en el mercado europeo.
