La expansión del vehículo eléctrico ha traído consigo un nuevo tipo de infraestructura crítica: las estaciones de recarga. Miles de puntos públicos y privados se han desplegado en los últimos años, conectados a la red eléctrica, a plataformas de pago y a sistemas de gestión remota. Esa conectividad, que permite monitorizar consumos, actualizar software o reservar una plaza desde el móvil, también abre la puerta a riesgos que hace apenas una década ni siquiera se contemplaban. La pregunta ya no es si un cargador puede ser atacado, sino cuán preparados están los fabricantes y operadores para evitarlo.
En 2024, un organismo alemán -el BSI- analizó la seguridad de varias estaciones públicas y concluyó que la situación era mejor que en años anteriores, pero aún lejos de ser ideal. La mayoría de los cargadores modernos utilizan protocolos cifrados y certificados digitales para comunicarse con el backend -el sistema central que gestiona la red-, pero todavía existen modelos antiguos o mal configurados que aceptan conexiones sin verificar su autenticidad. En la práctica, esto significa que un atacante podría intentar hacerse pasar por el servidor legítimo y manipular la comunicación, algo similar a interceptar una llamada telefónica y alterar lo que oye cada interlocutor.
A ello se suman vulnerabilidades demostradas en investigaciones recientes, tal y como nos recuerdan los expertos del Área Técnica de la empresa tecnológica EUROCYBCAR -cuya CEO y fundadora es Azucena Hernández-. El ataque Brokenwire, por ejemplo, mostró que era posible interrumpir la carga de vehículos mediante interferencias electromagnéticas dirigidas al protocolo de comunicación de carga rápida. No permitía tomar el control del coche, pero sí detener la sesión de forma remota.
En competiciones como Pwn2Own, expertos han logrado acceder a paneles de administración de cargadores, modificar precios o incluso cargar energía sin autorización, aprovechando fallos en el software o en la validación de usuarios. Son pruebas controladas -hackeos, no crackeos-, pero demuestran que los riesgos son reales y no solo teóricos.
Otro punto crítico es el ya mencionado backend. Aunque un cargador individual pueda estar bien protegido, su sistema centralizado puede convertirse en un objetivo mucho más ‘atractivo’. Si un atacante accede a la plataforma que gestiona miles de estaciones, podría manipular tarifas, desactivar puntos de recarga o recopilar datos de usuarios.
En 2022 -como se recoge en la amplia base de datos que posee EUROCYBCAR -, un grupo de investigadores consiguió acceder al panel de control de un operador europeo y visualizar información sensible, como consumos, ubicaciones y métodos de pago. No llegaron a explotarlo, pero el incidente evidenció que la seguridad no depende solo del hardware instalado en la calle, sino de toda la cadena digital que lo sostiene.
Los métodos de autenticación también presentan desafíos. Muchas estaciones permiten iniciar la carga con tarjetas RFID, un sistema cómodo pero vulnerable si las tarjetas no están cifradas o si el lector acepta identificadores clonados. En algunos países, además, la facturación depende de aplicaciones móviles que almacenan datos personales y bancarios, lo que amplía la superficie de ataque más allá del propio cargador.
A pesar de todo, los expertos coinciden en que la situación está mejorando. Los fabricantes incorporan cada vez más actualizaciones automáticas, cifrado robusto y sistemas de detección de anomalías. La regulación también avanza: en Europa, las nuevas normas obligan a que los puntos de recarga cumplan requisitos mínimos de ciberseguridad y mantengan un registro de eventos para facilitar auditorías. El reto, sin embargo, es enorme. La red crece más rápido que la capacidad de asegurarla, y la diversidad de modelos, operadores y estándares hace difícil garantizar un nivel homogéneo de protección.
Siempre hay medidas que se pueden tomar…
La primera medida esencial para fabricantes y operadores es garantizar que todos los cargadores utilicen comunicaciones cifradas y certificados actualizados. Un cargador que acepta conexiones sin verificar su origen es un punto débil que puede comprometer toda la red. También es fundamental implementar actualizaciones automáticas, de modo que los parches de seguridad lleguen incluso a estaciones situadas en lugares remotos o gestionadas por terceros.
Los operadores deberían realizar auditorías periódicas de sus backends, ya que un fallo en la plataforma central puede tener un impacto mucho mayor que una vulnerabilidad aislada. Revisar accesos, limitar privilegios y monitorizar comportamientos anómalos -como cambios inesperados en tarifas o patrones de carga- ayuda a detectar intrusiones antes de que se conviertan en un problema mayor. En cuanto a los métodos de autenticación, es recomendable abandonar el uso de tarjetas RFID sin cifrado y apostar por sistemas más robustos, como aplicaciones con autenticación multifactor o tarjetas con certificados seguros.
Para los usuarios, la recomendación principal es sencilla: utilizar siempre cargadores de operadores conocidos y evitar estaciones que muestren ‘comportamientos extraños’, como reinicios constantes, pantallas en blanco o precios incoherentes. También conviene revisar periódicamente los extractos bancarios si se utiliza una app vinculada a métodos de pago. En el caso de las tarjetas RFID, es preferible no llevarlas expuestas y sustituirlas si se sospecha que han sido clonadas.
Precisamente y en relación con todo esto, cabe recordar que Grupo CYBENTIA -y más en concreto su Área de Formación, cuyo director es Jonay Peñate- dispone de un producto inédito en el mercado: su curso de ciberseguridad para vehículos eléctricos. Teniendo en cuenta que este tipo de movilidad va a marcar el presente y el futuro, especializarse en la ciberseguridad de este ámbito será una forma de abrirse muchas puertas desde el punto de vista laboral.
Se trata de una formación de 30 horas de duración, completamente online, compuesta por seis módulos de contenido audiovisual, además de material escrito y documentación e informes adicionales, que complementan los abundantes contenidos. El curso, al que se puede acceder a través del área de formación de la web del Grupo CYBENTIA, ofrece contenidos que han sido desarrollados en colaboración con los expertos del Área Técnica de EUROCYBCAR, empresa vasca -cuya CEO y fundadora es Azucena Hernández– que desarrolló el primer test que mide y certifica la ciberseguridad de los vehículos -incluyendo, por supuesto, los eléctricos-. Por otra parte, en esta formación también han intervenido destacados expertos del mundo de la movilidad, como el equipo de CyberQTesters de Grupo CYBENTIA.
