En apenas un mes de análisis, una empresa de ciberseguridad examinó 1.000 puntos de recarga en 56 países y descubrió un problema que ya no puede considerarse anecdótico: 720 de ellos aceptaban conexiones sin cifrado, dejando expuestos datos de autenticación, información de pago y registros de actividad. El hallazgo confirma lo que los expertos de EUROCYBCAR -empresa tecnológica cuya CEO y fundadora es Azucena Hernández– llevan años advirtiendo: la infraestructura de recarga crece más rápido que su nivel de protección.
El protocolo OCPP -es decir, el lenguaje que permite a las estaciones comunicarse con plataformas de gestión centralizadas- se ha convertido en el talón de Aquiles del sistema. Diseñado para ser flexible y universal, hoy se enfrenta a un uso masivo sin que todos los operadores hayan implementado medidas básicas de protección.
Cuando una estación acepta conexiones en claro, cualquier atacante situado en el mismo entorno de red puede interceptar los datos que circulan entre el vehículo, la plataforma de gestión y el servidor del operador. Es un escenario que, aunque técnico, se resume en una idea sencilla: la ‘manguera’ no solo carga electricidad, también transporta información sensible.
Además, hablamos de un problema global… que no entiende de fronteras. Aunque Europa concentra buena parte de los terminales analizados, la falta de cifrado aparece en Estados Unidos, China y decenas de países más. Por tanto, no se trata de un fallo localizado, sino de una debilidad estructural en un ecosistema que se ha expandido sin una estandarización estricta de seguridad. Plataformas como SteVe, con cientos de terminales conectados, ilustran cómo una mala configuración puede multiplicar el riesgo a escala internacional.
Los incidentes previos demuestran que no hablamos de una amenaza que se quede en ‘lo teórico’. Tal y como recoge EUROCYBCAR en su gran base de datos de ‘casos reales’,en 2022, varias estaciones en la isla de Wight fueron comprometidas para mostrar contenido pornográfico en sus pantallas. Un año después, un investigador descubrió una base de datos de Shell Recharge expuesta en la nube sin contraseña, con casi un terabyte de información de clientes. Estos episodios revelan que la cadena de seguridad es tan fuerte como su eslabón más débil, y en la movilidad eléctrica aún hay demasiados eslabones sin reforzar.
La vulnerabilidad no solo afecta a los operadores: también impacta en los usuarios. Un atacante podría manipular sesiones de carga, alterar precios, bloquear estaciones o incluso rastrear hábitos de movilidad. Si se tiene en cuenta que el vehículo eléctrico se integra cada vez más con aplicaciones móviles, sistemas de pago y servicios en la nube, la superficie de ataque se amplía de forma inevitable.
La industria trabaja para corregir estas brechas, pero el ritmo de despliegue de nuevas estaciones supera al de las auditorías y actualizaciones. Y mientras tanto, los crackers continúan explorando estas ‘mangueras digitales’ que siguen siendo más vulnerables de lo que deberían. Entonces, ¿qué se puede hacer?
Para reducir riesgos, tal y como nos recuerdan los expertos del Área Técnica de EUROCYBCAR -empresa cuya CEO y fundadora es Azucena Hernández– los operadores deben adoptar cifrado obligatorio en todas las comunicaciones OCPP, evitando que los datos viajen ‘en claro’. Es esencial implementar certificados válidos, autenticación mutua entre estación y servidor y políticas estrictas de rotación de claves. Las plataformas de gestión deben someterse a auditorías periódicas, con especial atención a configuraciones por defecto, puertos abiertos y servicios expuestos en la nube. La actualización del firmware de las estaciones -a menudo olvidada- debe ser automática y verificable, evitando que versiones antiguas mantengan vulnerabilidades conocidas.
Los usuarios también pueden tomar medidas. Aunque no controlan la seguridad del operador, sí pueden elegir estaciones de proveedores reconocidos, evitar redes Wi-Fi públicas cuando gestionen la recarga desde aplicaciones móviles y revisar permisos de las apps asociadas al vehículo. En entornos domésticos, conviene separar la estación de recarga del resto de dispositivos conectados, usando redes independientes o VLANs para limitar el impacto de un posible ataque.
Finalmente, las administraciones deben impulsar certificaciones obligatorias para infraestructuras de recarga, igual que ocurre en otros sectores críticos.
