La digitalización del automóvil ha convertido al móvil en un elemento más del vehículo. Aplicaciones como myAudi -entre otras muchas- permiten consultar el estado del coche, localizarlo, abrirlo a distancia o programar la climatización. Sin embargo, esa comodidad también implica nuevos riesgos. Así lo ha demostrado un reciente análisis de seguridad publicado por investigadores independientes, que detectaron fallos en la infraestructura asociada a la app myAudi y en servicios vinculados al ecosistema digital del Grupo Volkswagen. Según el informe, ciertas configuraciones deficientes en servidores y servicios web permitían que un atacante con conocimientos avanzados accediera a datos internos relacionados con la telemática del vehículo, un sistema que recopila información como la ubicación, la velocidad o el estado general del coche.
Tal y como nos cuentan los expertos del Área Técnica de EUROCYBCAR -cuya CEO y fundadora es Azucena Hernández; esta empresa tecnológica posee la mayor base de datos de casos reales de crackeos e investigaciones al sector de la automoción/movilidad-, el hallazgo recuerda a incidentes previos que afectaron a varias marcas del grupo, como la filtración de datos de ubicación de cientos de miles de vehículos de Audi, Volkswagen, Seat y Skoda, causada por una vulnerabilidad en la plataforma en la nube de Cariad -la filial de software del consorcio- que dejó expuestos correos electrónicos, teléfonos y posiciones GPS extremadamente precisas durante meses.
En el caso de myAudi, los investigadores explican que la aplicación en sí no era el único punto débil. Parte del problema residía en servicios auxiliares, como wikis corporativas -que es como una web interna donde una empresa guarda y comparte información para sus empleados- o portales internos, que contenían información sensible y estaban accesibles sin las protecciones adecuadas. En uno de los ejemplos descritos, una vulnerabilidad de inyección SQL -un tipo de fallo que permite manipular consultas a bases de datos- facilitó la obtención de listas de usuarios y contraseñas cifradas. Aunque estos datos no daban acceso directo al vehículo, sí podían servir como trampolín para comprometer otros sistemas conectados.
Audi, por su parte, ha reforzado en los últimos años la integración de funciones avanzadas en myAudi, desde la llave digital hasta el control remoto del vehículo. Estas características, que permiten abrir o arrancar el coche desde el móvil, dependen de una comunicación constante entre el teléfono, la nube del fabricante y el propio vehículo. Si alguno de esos eslabones falla -por ejemplo, por un error de configuración en servidores o por una política de contraseñas poco estricta-, el riesgo se multiplica.
Los expertos consultados coinciden en que la industria del automóvil está viviendo una transición acelerada hacia el software, y que esa velocidad a veces deja ‘huecos ‘puertas’ que los atacantes pueden aprovechar. No obstante, subrayan que la divulgación responsable de vulnerabilidades, como en este caso, permite corregir los fallos antes de que se produzcan incidentes reales. La compañía ha aplicado ya las medidas necesarias y no existen indicios de accesos indebidos a vehículos o cuentas de usuarios.
Pero no te alarmes: hay consejos -de ciberseguridad- que te pueden ayudar
El aumento de funciones digitales en los coches hace que la seguridad del vehículo dependa también de la seguridad del móvil. Por eso, los especialistas de EUROCYBCAR recomiendan adoptar hábitos sencillos que reducen de forma notable los riesgos. El primero es descargar siempre las aplicaciones oficiales desde las tiendas autorizadas -App Store o Google Play-, evitando enlaces externos o versiones modificadas. Estas plataformas verifican la integridad del software y alertan de comportamientos sospechosos.
También es importante activar un método de bloqueo seguro en el teléfono, ya sea PIN, huella o reconocimiento facial. Si la app del coche permite añadir una capa adicional -como un código de acceso propio- conviene activarla, porque añade una barrera más en caso de pérdida o robo del dispositivo. Mantener la aplicación actualizada es otro punto clave: cada nueva versión suele incluir parches de seguridad que corrigen fallos detectados recientemente.
Los expertos recomiendan revisar de forma periódica los permisos concedidos a la app, en especial aquellos relacionados con la ubicación o el acceso a datos personales. Si una función no se utiliza, es preferible desactivarla. Además, conviene evitar redes WiFi públicas al interactuar con aplicaciones sensibles, ya que pueden ser interceptadas con mayor facilidad. En caso de necesitar conexión, es recomendable usar la red móvil o una VPN de confianza.
Por último, si el usuario detecta comportamientos anómalos -como accesos no reconocidos, fallos persistentes o notificaciones extrañas- debe contactar con el servicio de atención del fabricante.
