Expertos HC

¿Quién está detrás de los ciberataques a los coches?

Sabemos que los coches ya están teniendo bastante problemas de ciberseguridad. Pero ¿quién los causa? Te explicamos quiénes podrían esconderse detrás de un ciberataque a un vehículo.

Imagen de una concentración de coches sobre una explanada
Foto: Piqsels.

Se habla mucho sobre ciberseguridad actualmente, pero, ¿quién querría crackear tu coche y qué motivos le llevarían a hacerlo? Por supuesto, los ciberataques en la industria del automóvil no afectan solo a los propios coches. Un ejemplo de esto es la reciente fuga de código que sufrió Nissan Norteamérica, que causó que datos confidenciales de la compañía llegasen a terceros no autorizados.

¿Quién querría piratear un automóvil? Es una pregunta muy válida y va al corazón de cualquier estrategia de seguridad. Si no se comprenden y cuantifican los riesgos, no se podrán abordarlos de manera adecuada. Al considerar los ciberataques como un medio para prevenir el funcionamiento normal de un automóvil, o un componente de este, hay muchos actores que podrían tener una motivación para piratear su automóvil.

Eso no significa que sean lo suficientemente deshonestos como para intentarlo, y esta lista está estirando deliberadamente el punto, pero ilustra por qué es importante la ciberseguridad, incluso para un automóvil. Según un estudio de USWITCH, los ataques cibernéticos a automóviles conectados han aumentado en un 99% desde 2018.

Entonces, ¿quién piratearía tu coche?

  • Terroristas. Un terrorista puede estar tan motivado para hacer que mi coche se estrelle tanto como para colocar una bomba debajo de él. Sin embargo, como en la práctica hay muy pocos coches bomba, ¿quizás esta amenaza de ciberseguridad es exagerada? No necesariamente. Hay varios aspectos que hacen que un ciberataque terrorista sea más preocupante.
    • Un ciberataque puede ser mucho más simple de instigar -si no hacemos un trabajo de implementación de la ciberseguridad-.
    • Se puede hacer a distancia con relativa seguridad -para el atacante-.
    • Se puede hacer a escala. Este es el problema realmente preocupante. Si puedo atacar a un automóvil, entonces potencialmente puedo atacar a todos los automóviles. Esto no solo amplifica el alcance de un ataque, sino que significa que un ataque relativamente menor -por ejemplo, detener un coche en lugar de estrellarlo- se vuelve más impactante.
    • Se puede compartir. Bienvenidos al mundo de las redes sociales. Una vez que se encuentra y se comparte un vector de ataque, muchos actores pueden usarlo. Las bombas no tienen esa propiedad.
    • Es más fácil de justificar. Un grupo de activistas que explote un automóvil perderá mucha simpatía. Los ciberataques pueden verse como una opción más suave. Paralizar una ciudad, creando una gran atasco, no cuesta -directamente- vidas
  • Extorsionadores. Todos somos conscientes del peligro que supone el ransomware -bloqueo de un sistema informático y exigir una recompensa para liberarlo-. El ransomware para automóviles es totalmente posible. Pagar para conducir puede tener un significado completamente nuevo.
  • Propietario del coche. Los dueños están muy motivados para modificar la configuración de sus vehículos de manera ilícita: exprimir un poco más la batería, habilite una función opcional, deshabilitar el limitador de velocidad o reprogramar el motor para aumentar la potencia. Esos cambios a menudo deshabilitan funciones de seguridad, lo que a su vez hace que los crackers lo tengan mucho más fácil.
  • Propietarios anteriores. Retroceder el reloj es solo el comienzo. A medida que el historial de un vehículo se vuelve cada vez más relevante para determinar el valor de reventa, aumenta la motivación para hacer trampa. Esto también puede incluir dejar intencionalmente configuraciones habilitadas que permitan un seguimiento simple del vehículo después de que se haya vendido.
  • Talleres. Pueden jugar bajo el capó -literalmente- pero cada vez es más habitual que registren el trabajo realizado en los diversos sistemas informáticos del automóvil. Un taller que desee cobrar de más puede estar motivado para falsificar estas lecturas, y un soborno a un trabajador corrupto en un taller es una excelente manera organizar un ciberataque. También es un gran entorno para que alguien pueda comparar sus habilidades con una amplia gama de marcas, modelos e implementaciones de seguridad.
  • Fabricantes de repuestos. Es posible que no pensemos en esto como un ciberataque, pero con una mayor dependencia de los componentes ‘inteligentes’, e incluso componentes relativamente tontos como interruptores de ventana que tienen microcontroladores en ellos, entonces existe una gran motivación para que los fabricantes de piezas jueguen el juego cibernético o incluso incrusten puertas traseras en sus partes. 
  • Fabricantes de automóviles.  Generalmente, estos tienen las llaves del reino y se les confía la función de garantizar una buena práctica de seguridad cibernética. Pero eso no significa que no existan motivaciones para manipular datos. Es justo decir que la ciberseguridad ocupa un lugar destacado en la agenda de todos los fabricantes de automóviles, y que todos aprecian cuánto tienen que perder si hacen un mal trabajo -y mucho menos si son cómplices de un ataque-.
  • Fabricantes rivales. Se puede ver que la marca X generalmente se beneficiará si los coches de la marca Y demuestran ser poco fiables, inseguros o tienen tendencia a oxidarse. La última opción de esas tres es difícil de lograr con un ciberataque, pero ¡los otros dos no lo son! Por supuesto, esto debe equilibrarse con el riesgo de reducir la confianza general del consumidor y su disposición a pagar por los sistemas basados ​​en software más avanzados. 
  • Gobiernos. Sí, en serio. Con carreras políticas basadas en demostrar el éxito -o no-, es posible que los gobiernos rastreen un vehículo o graben conversaciones dentro de ellos. Los escritores de suspense al menos se tendrán material durante muchos años.
  • Comerciantes de productos básicos, constructores de carreteras, urbanistas, guerreros ecológicos, viajeros… Nuestros coches ya no solo nos llevan de A a B, sino que nos dicen qué ruta tomar, cuándo salir, qué tan rápido conducir. Los ciberataques pueden influir potencialmente en todas estas cosas y, si bien la motivación o el impacto de un solo automóvil es pequeño, cuando se aplica a una población de vehículos, tanto la motivación como el impacto aumentan. Una gran demostración de esto fue cómo se podía engañar a la aplicación Waze para que pensara que había un atasco y que se redirigiera el tráfico. Eso fue solo una demostración técnica, pero eso no significa que no pueda suceder de verdad.

Garantizar la ciberseguridad

No hay que tomar la lista anterior como una razón para no conducir. Aunque alrededor del 67% de todos los autos nuevos vendidos actualmente están conectados de alguna manera, se espera que aumente al 100% para 2026, lo que significa que las vulnerabilidades deben minimizarse.

La gran mayoría de los actores están motivados para prevenir tales ataques, y los ciberataques automotrices aún no están tan extendidos. Sin embargo, no debemos ser complacientes, por lo que es una gran noticia que lleguen nuevos estándares como UNECE WP.29 y dejar absolutamente claro dónde se detiene la responsabilidad de garantizar la ciberseguridad de los vehículos a lo largo de su vida.

*Artículo escrito por Richard Hayton y publicado originalmente en Trustonic.

La redacción de HACKERCAR la componen periodistas que trabajan en colaboración con expertos en tecnología y ciberseguridad. Hablamos de vehículos, de movilidad, de consejos... y también nos gusta el formato audiovisual. ¿Tienes algún tema que te gustaría que tratásemos o investigásemos? Escríbenos a redaccion@hackercar.com

DEJA UNA RESPUESTA

¡Por favor, escribe tu comentario!
Por favor, introduce tu nombre aquí

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.