A pesar de esa proximidad en el tiempo, aún quedan muchas marcas con deberes por hacer; no sabemos si por desconocimiento o por no comunicarlo de la forma adecuada, resulta complejo conocer si los modelos de un determinado fabricante se encuentran al día con lo que es la adopción de la que ha sido el primer texto legal centrado en ciberseguridad para vehículos.
Es cierto que hemos visto casos recientemente, como los de BYD, Nio o Nuuk que no tienen inconveniente en hacer público su adopción de la UNECE/R155; aunque quizá la que más clara está siendo para difundirlo es Volkswagen.
Ejemplos concretos dentro de su gama
De hecho, hace unos meses cuando hablábamos de su modelo ID.7, su gran berlina eléctrica que llegará a finales de año, contábamos que durante una de las ruedas de prensa, VW anunciaba a los asistentes que estaban ante el primer modelo de nueva homologación, dentro de la marca, que cumple con los requisitos dictados por la mencionada UNECE/R155.
Un texto legal que, de hecho, es de obligatorio cumplimiento en regiones como la Unión Europea desde julio de 2022 para, como en el caso de este VW, modelos que se homologan por primera vez, como es el caso de esta berlina.
Pues bien, en estos momentos, en el propio configurador de la marca, se incluye desde hace unos días toda la información y versiones de este sofisticado modelo.
El usuario puede comprobar, entre otras cosas, el equipamiento de serie de la versión en la que se haya interesado… y ahí se le mostrará un listado con los elementos que están incluidos sin sobreprecio; Pues bien, echando un rápido vistazo, se puede ver que… el coche viene «con ciberseguridad y actualización de software UNECE», lo que vendría a significar que es un vehículo ciberseguro… si bien no especifican qué organismo independiente lo ha considerado como tal, ni tampoco a qué tipo de pruebas ha sido sometido el vehículo en cuestión.
Y no solo eso, sino que también estaría cumpliendo la norma UNECE/R156, que está centrada en la ciberseguridad de las actualizaciones remotas que ya empiezan a ser un elemento habitual en muchos modelos.
En el lado contrario, un modelo bastante moderno, como la actual generación del Polo, aparece en ese mismo enlace, donde se habla de su equipamiento, como «Sin ciberseguridad ni actualización de software UNECE».
En realidad, aunque se pudiera considerar algo reprochable, a día de hoy este modelo puede venderse legalmente sin problemas por el simple hecho de que su puesta a la venta se produjo en 2017, por lo que su fecha de homologación resultó muy anterior a julio de 2022, que es cuando empezó a ser obligatorio el cumplimiento de la norma para vehículos de nueva homologación.
Lo que puede pasar… según los expertos
Hemos contactado con los expertos del área técnica de EUROCYBCAR para que nos cuenten, aparte de temas legales y multas económicas para el fabricante, a qué se puede exponer un vehículo que no disponga del certificado:
«No tener el certificado de ciberseguridad basándose en la UNECE/R155 puede significar innumerables riesgos tanto para los usuarios del vehículo como para la propia marca, puesto que existen numerosas vulnerabilidades que son contempladas en esta normativa y esta exige que deben mitigarse con unos criterios mínimos.
Comenzado por las vulnerabilidades de menor impacto, entre las 70 amenazas que deben contemplarse por parte de la normativa, existen algunas que hacen referencia a una correcta gestión de la información, lo que puede afectar a la marca con el robo de información para realizar extorsiones de información confidencial o ataques de ciberseguridad más complejos aprovechando la información extraída, y en el caso de los usuarios el robo de información personal o el fraude de identidad.
Profundizando un poco más en las vulnerabilidades que se trabajan en la normativa, si se da un paso más en la peligrosidad de los ataques se pueden ver situaciones en las que mediante el control de funciones no relacionadas con la conducción, como puede ser la radio, la gestión de las ventanillas, etcétera. Es posible generar distracciones al conductor que provoquen un accidente.
Finalmente, en el peor de los casos, mediante el control de las funciones de la dinámica del vehículo, es posible obtener de forma parcial o total el control del vehículo, lo que puede suponer un riesgo mortal para los pasajeros y las personas que se encuentran a su alrededor».
