El mundo de la ciberseguridad gira progresivamente la cabeza hacia los navegadores en tanto que nuevos objetivos de los crackers. Y es que, conforme las redes evolucionan, también lo hacen los métodos de los cibercriminales. Éstos, tradicionalmente, han usado agujeros en el “software” o ingeniería social para comprometer información en los equipos.
En la actualidad, los datos de las organizaciones no se guardan en un punto de acceso local ni se gestionan centralmente. A la hora de la verdad, nos estamos acostumbrando a guardar nuestros propios datos en la nube y acceder a ellos mediante un navegador. Por eso nuestro experto Carlos Sahuquillo, consultor de ciberseguridad de la automoción en GMV, lo tiene claro: “Cada vez es más habitual que las aplicaciones de escritorio ya no sean aplicaciones que se instalan en tu dispositivo, sino que se accede a través de la web.
Por ello, el navegador es ahora quien maneja los accesos y las peticiones… y debe estar lo más ‘securizado’ posible”. En el mundo empresarial, este funcionamiento deriva en el modelo de responsabilidad compartida. Dicho modelo de responsabilidad consiste en que la empresa asume la gestión de las identidades de su plantilla para acceder a esos datos.
Toda una colección de riesgos
Aquí es donde empieza a entrar en escena el papel del navegador. Vulnerabilidades de estas características puede dar acceso tanto al sistema multimedia como al resto del vehículo. En consecuencia, “un posible intruso podría recopilar los trayectos del vehículo, saber a qué horas está en movimiento, cuándo está aparcado en el garaje de casa… y preparar un ataque hacia la víctima. Sería como una especie de campaña de vigilancia pero sin necesidad de seguir físicamente al individuo”, advierte Sahuquillo. Es más, con frecuencia se usa el sistema de infoentretenimiento como punto de acceso WiFi para consumir contenido o trabajar. Todas ellas son comunicaciones que podrían resultar interceptadas.
Por no hablar del caso de las flotas… como sí hace Sahuquillo: “una empresa de la competencia que pudiera acceder a las visitas de nuestra flota de vehículos utilizados por los comerciales, por lo que podrían saber qué clientes visitamos, con qué frecuencia, etc.”. Ante ello, es recomendable someter al sistema de gestión de flotas de nuestra organización a las pruebas que EUROCYBCAR realiza mediante la tecnología CATWAM. Gracias a ella, se certifica el nivel de seguridad de las plataformas de movilidad. CATWAM simula un perfil de atacante para localizar vulnerabilidades.
Una de «tokens» y «logs»
Pocas cosas hay tan codiciadas por los ciberdelincuentes como las identidades de los empleados de una organización. ¿Y dónde se crean esas identidades ahora mismo, cómo se guardan, se usan…? Una vez que las tienen, los crackers pueden probar las credenciales en todo tipo de plataformas por si ese usuario y contraseña funcionan en algún sitio más.
De igual modo, acceder a los “tokens” de sesión les permite sortear el proceso de autenticación y “colarse” en una sesión activa de la plataforma en cuestión. En realidad, el papel del cracker es cada vez más el de almacenar datos de cuentas y facilitar el acceso a ellas para perpetrar acciones maliciosas.
Para conseguirlo, en los últimos tiempos usan como fuente los denominados «infostealer logs». Hablamos de un ataque mediante «malware» que se hace con aquellas contraseñas que no han sido cambiadas ni se les ha añadido un doble factor de autenticación.
A veces los ataques se producen en el navegador; en otras ocasiones, se perpetran contra el navegador. Naturalmente, un navegador es mucho más simple que un sistema operativo. Pero los ataques directamente contra el navegador son escasos. Normalmente, se realizan manipulando al usuario para que instale extensiones maliciosas o, en su defecto, atacando esas mismas extensiones. Por eso es recomendable que las empresas bloqueen la instalación de extensiones en los navegadores, de manera que sólo las personas designadas como administradoras puedan decidir cuáles.
Oportunidad para el ‘phishing’ más sofisticado
Por supuesto, el «phishing» es otro de los recursos con los que los ciberdelincuentes consiguen credenciales, ya sea mediante correos electrónicos falsos, anuncios de Google maliciosos… y cada vez es más sofisticado para burlar los sistemas de detección. En estos momentos, hay «phishing» que se sirve de los recursos «anti-spam» para bloquear herramientas de seguridad.
Todo esto para conseguir las cuentas de los empleados. Los crackers disponen de cientos de aplicaciones entre las que elegir, que se utilizan en el entorno empresarial; y el navegador es la plataforma esencial mediante la que se accede. Pero una de sus grandes ventajas para proteger a tu organización e amenazas reside en que puedes observar todos los «login» que se intentan. Además, puedes observar todas las propiedades de cada intento de acceso con un usuario a una plataforma. Los navegadores proporcionan información contextualizada hasta el punto de revelar qué usuario está interactuando con la página, de dónde procede, qué contraseña introduce… e incluso si hay código que apunte hacia un intento de «phishing». En definitiva, los navegadores son ahora un objetivo para los crackers, pero también presentan oportunidades para prevenir, detectar y responder a ataques basados en la identidad.
Una manía cuestionable
En la industria de la automoción, muchos fabricantes se empeñan en producir su propio software. La filosofía detrás de esta práctica se basa en mantener el control sobre los programas para que se ajusten como anillo al dedo a las necesidades de sus modelos. “Esto no sería malo si implementaran los mismos controles de ciberseguridad que implementan los grandes fabricantes”, sostiene Sauquillo.
Generalmente, cuando los modelos se ponen a la venta, estos sistemas todavía son ciberseguros. Pero, más allá de poner al día los mapas del navegador GPS, se acaban quedando obsoletos a los pocos años. «En ese caso, van acumulando vulnerabilidades propias del software y librerías utilizadas», añade.
Además, esta práctica suele pasar por alto las preferencias de los usuarios, habituados al uso de los entornos de Android o Apple. En consecuencia, frecuentemente prefieren las interfaces de Android Auto y Apple CarPlay. “Ambos sistemas son seguros y se encuentran en continuo desarrollo. Pero al ejecutarse únicamente como aplicaciones, las vulnerabilidades que pueda tener el navegador siguen ahí y pueden ser aprovechadas por ciberdelincuentes”, advierte Sahuquillo.
¿Hay navegadores más seguros que otros?
Uno de los primeros navegadores para Android Automotive OS ha sido Vivaldi, que permite la gestión avanzada de pestañas e incluye protección contra rastreadores y anuncios. Vivaldi ya está disponible para los sistemas multimedia de Volkswagen, Audi, Ford, Volvo, Mercedes y Renault, entre otros fabricantes. Así, la compañía noruega responde al deseo de muchos de los clientes de estas marcas de contar con un navegador en el coche que se pueda usar con la misma facilidad que el de un smartphone.
Su navegador presenta protección contra el rastreo. Se trata de algo especialmente importante para lo que nos ocupa: sincronización encriptada para subir archivos a la nube de forma segura. Los responsables de Vivaldi insisten en que la privacidad ha sido una prioridad para ellos. La preocupación por la recolección de datos que practican los gigantes tecnológicos estuvo siempre muy presente.
Hasta la aparición de Vivaldi, prácticamente Tesla era la única compañía que se había atrevido a desarrollar un navegador específico para automóviles. No obstante, Carlos Sahuquillo sugiere otra alternativa reciente: “Automotive Grade Linux sí es un sistema operativo base para las funciones de infoentretenimiento, con sus actualizaciones continuas como si de un sistema operativo de escritorio o de móvil se tratara. Sobre ese sistema también se puede ejecutar Apple Car Play o Android Auto, pero partiendo de una base segura. La han revisado expertos de todo el mundo (ya que se trata de un sistema basado en el software libre), con actualizaciones durante muchos años”.
Las prácticas de los fabricantes, a examen
Tras analizar las políticas de decenas de fabricantes, un informe de Mozilla del año 2023 revelaba que los vehículos conectados recogen prácticamente la misma cantidad de información que las compañías tecnológicas. Lo que es peor, las marcas de coches ofrecen pocos datos acerca de cómo se almacena y usa. Ni siquiera proporcionaban al usuario la posibilidad de declinar esta recolección.
«Los coches son una enorme pesadilla de privacidad a la que nadie parece estar prestando atención», advertía Jen Caltrider, director de la guía de privacidad para el consumidor “Privacy not Included”, realizada por Mozilla; “y se están ‘yendo de rositas’. Esto tiene que cambiar porque sólo va a ir a peor conforme los coches estén más conectados”.
Además del historial de navegación o de compras, seis de los fabricantes analizados reconocían que recolectaban «información genética» de los usuarios. Asimismo, cuatro de ellos admitían que comercializaban datos de sus clientes. Nissan admitió que almacenaba información sobre su actividad sexual.
Por suerte o por desgracia, Sahuquillo extrae una gran lección de todas estas tendencias con los navegadores en los vehículos. “No podemos dejar en manos del usuario la posibilidad de instalar medidas de seguridad como cortafuegos, configurar la privacidad, borrar los datos almacenados cada cierto tiempo… porque muchos de los compradores no van a hacer eso nunca. Es el mismo sistema el que debe implementar las medidas necesarias para preservar la información sensible de los usuarios del vehículo. Además, debe mantenerse actualizado durante toda su vida útil. Solo así podremos evitar que una vulnerabilidad que se descubra dentro de cinco años deje esos datos expuestos”.
