Es habitual decir que cualquiera puede ser víctima de un ciberataque, ya sea un particular o una empresa. Sin embargo, entre estas últimas, resulta evidente que cuanto mayor es el objetivo -por su repercusión, número de clientes o volumen de negocio-, más interesante se vuelve a los ojos de los crackers. Por eso, las firmas automovilísticas suelen protagonizar -por desgracia- incidentes que hablan de un nivel de ciberseguridad que aún puede mejorar. ¿Una tarea difícil? Seguro. Pero no imposible.
Un buen ejemplo de todo esto lo ha vuelto a protagonizar el Grupo Volkswagen que, con todas sus marcas -VW, Audi, Skoda, Seat, Cupra…-, conforma uno de los pesos pesados de la automoción y siempre es aspirante a liderar, año tras año, el ranking de los grupos que más vehículos venden.
No es la primera vez que protagonizan un incidente de ciberseguridad. De hecho, tal y como se recoge en la mayor base de datos de casos de incidentes, crackeos e investigaciones de ciberseguridad en el sector de la automoción, que ofrece la empresa tecnológica EUROCYBCAR, durante 2024 ya se vieron afectados por dos filtraciones que provocaron que miles de documentos confidenciales y archivos sensibles terminasen filtrados en la dark web.
En esta ocasión, cuando estaba finalizando el año, el Grupo VW volvió a sufrir otra brecha de seguridad, por la cual quedaron expuestos datos de gran sensibilidad, relacionados con la ubicación y los trayectos efectuados por más de 800.000 vehículos eléctricos e información de sus propietarios. Es decir, que un pirata informático podría disponer de esa información para conocer en qué lugar se encuentra una determinada persona en un momento concreto.
Todo parece apuntar a que el fallo estuvo relacionado con un error cometido por Cariad, que es la filial de Volkswagen encargada del desarrollo de todo lo relacionado con el software. Dicha firma recurrió a una plataforma digital para el almacenamiento de datos de los vehículos eléctricos de clientes, pero debido a un fallo en la configuración de la nube, la información quedó expuesta y accesible.
Cabe recordar que según los requisitos reglamentarios, en especial el Reglamento General de Protección de Datos -RGPD-, los datos deberían estar muy protegidos ya que, en caso contrario, la empresa que no lo haga puede exponerse a fuertes sanciones económicas. De hecho, por infracciones graves o muy graves -que incluyen la falta de medidas de seguridad apropiadas-, las multas pueden alcanzar hasta los 20 millones de uros o el 4% del volumen de negocio anual global -según cual sera la cifra más alta-.
¿Cómo actuó la marca…?
Tras recibir el chivatazo, tanto Volkswagen como Cariad aseguraron haber reaccionado de inmediato, diciendo que el problema se subsanó con éxito. Con todo, se desconoce hasta el momento qué medidas exactas tomaron, si ha habido ciberdelincuentes que puedan haberse aprovechado de la vulnerabilidad o durante cuánto tiempo dicha información se encontró expuesta.
Por otro lado, los responsables del Grupo afirmaron que iba a reforzar sus protocolos de seguridad para evitar que, en el futuro, se vuelvan a producir incidentes similares. Por ejemplo, iban a revisar y actualizar todo lo relacionado con los sistemas de protección de datos.
¿y cómo deberían haber actuado, según nuestro experto?
Hemos consultado a nuestro experto Pablo F. Iglesias, empresario e inversor especializado en la consultoría de Presencia Digital y Reputación Online con CyberBrainers, una agencia de reputación y presencia digital de la que es fundador. Estos son algunos de los consejos que Pablo recomendaría aplicar.
Pablo nos ha comentado que «una brecha de seguridad como la que ha afectado recientemente a Volkswagen pone de manifiesto la importancia de adoptar una estrategia integral de ciberseguridad, especialmente cuando se trata de proteger datos sensibles de clientes». Para minimizar el riesgo de incidentes similares, el experto recomienda las siguientes acciones clave:
Auditorías regulares de configuración en la nube: La mala configuración de los sistemas en plataformas como Amazon Cloud Services es una de las causas más comunes de brechas de seguridad. Realizar auditorías de seguridad automatizadas y manuales de forma periódica podría haber detectado configuraciones incorrectas antes de que representaran un riesgo.
Principio de mínimo privilegio -Least Privilege-: Asegurarse de que solo las personas o sistemas estrictamente necesarios tengan acceso a los datos almacenados. Esto incluye limitar los permisos de acceso a configuraciones sensibles en la nube.
Escaneo continuo y monitoreo proactivo: Implementar herramientas de seguridad que monitoricen continuamente los sistemas en busca de configuraciones públicas o accesos no autorizados. Servicios como Amazon Macie o AWS Config son útiles para identificar datos expuestos de manera inadvertida.
Pruebas de penetración periódicas: Contratar expertos en ciberseguridad para simular ataques y probar la robustez de los sistemas. Esto ayuda a identificar vulnerabilidades en los sistemas antes de que los atacantes puedan explotarlas.
Gestión centralizada de incidentes: Tener en marcha un plan de respuesta a incidentes bien definido y probado que permita detectar, contener y remediar problemas de seguridad de manera eficiente.
Capacitación y concienciación: Formar a los empleados y proveedores sobre buenas prácticas de seguridad, especialmente en el uso de servicios en la nube, para minimizar errores humanos.
Cifrado y anonimización de datos: Los datos almacenados en la nube deberían estar cifrados, tanto en tránsito como en reposo. Adicionalmente, se debería aplicar anonimización o pseudonimización a los datos sensibles, como los de geoposicionamiento, para reducir los riesgos en caso de exposición.
Evaluación continua de terceros y subsidiarias: Cariad, como subsidiaria encargada del software, debería haber sido sometida a controles estrictos de seguridad para garantizar que sus prácticas cumplieran con los estándares de la empresa matriz.
En última instancia, este tipo de incidentes subraya la necesidad de un enfoque holístico en ciberseguridad, que integre tecnología avanzada, buenas prácticas organizativas y un compromiso firme de toda la organización con la protección de los datos de sus clientes.
