Los automóviles llevan mucho tiempo siendo vulnerables a distintos tipos de ciberataques: a través del Bluetooth, de la toma OBD, del sistema de info-entretenimiento e, incluso, recientemente os contábamos cómo un Toyota RAV-4 podrían ciberatacarse, accediendo a sus interioridades usando como puerta de acceso… el cableado de uno de los faros delanteros -con el objetivo final de abrirlo, arrancarlo y robarlo-.
Pues bien, hace escasas fechas ha saltado a la luz otra investigación protagonizada por Honda… y un vector de ataque ‘clásico’ en cuanto a que constituye una puerta de entrada -y nunca mejor dicho- al interior de cualquier coche. Nos referimos al dispositivo de apertura y cierre de un vehículo mediante un mando a distancia. Una tecnología que ya es completamente normal en todos los modelos de la gama del fabricante nipón.
Todo, a raíz del trabajo llevado a cabo por unos investigadores, conocidos como Kevin2600 y Wesley Li, de la compañía Star-V Lab- que se propusieron el fin de estudiar el cierre centralizado con mando a distancia y su resistencia frente a un ataque ‘Rolling PWN’. El resultado fue… que hallaron una debilidad en dicha tecnología que podría afectar a todos los modelos Honda existentes en el mercado, desde el año 2012 hasta el 2022, algunos de ellos disponibles en Europa -como el Fit, que aquí se conoce como Jazz, el Civic o el CR-V– y todos ellos en Estados unidos.
El error con el que se encontraron los investigadores, tiene que ver con el conocido como ‘mecanismo de códigos variables’. Una tecnología que está ahí para evitar, precisamente, un ataque por repetición: es decir, que un ciberdelincuente situado cerca de ti cuando accionas los botones del mando a distancia del vehículo pueda ‘copiar’ la señal con un dispositivo adecuado y luego pueda reproducirla para abrir el coche y llevárselo… Eso dice la teoría: que ese código debería variar para que, aunque se copie, no sirva de nada reproducirlo, salvo que el mencionado mecanismo de código variable presente un fallo de diseño, como dan a entender los investigadores.
Los investigadores aseguran que probaron ‘con éxito’ -y poniéndose en la piel de un ciberdelincuente- los diez modelos más populares de Honda en la última década, en concreto:
Honda Civic 2012 / Honda X-RV 2018 / Honda CR-V 2020 / Honda Accord 2020 / Honda Odyssey 2020 / Honda Inspire 2021 / Honda Fit 2022 / Honda Civic 2022 /Honda VE-1 2022 / Honda Breeze 2022 / Honda Accord 2021.
Para demostrar el éxito de su ‘ataque’, los responsables han subido una serie de vídeos en los que, aseguran, que pudieron abrir con éxito, y repitiéndolo varias veces, las puertas de los coches mencionados. En la mayoría de ellos, se ‘simula’ que una persona se baja de uno de los vehículos protagonistas’, cierra la puerta y realiza la clásica operación de activar el cierre centralizado del vehículo pulsando un botón en el mando a distancia para, posteriormente, alejarse del vehículo.
Poco después, se observa cómo uno de los investigadores, situado bastante cerca del vehículo -en la mayoría de los vídeos, a escasos dos/tres metros del coche objetivo, aunque en otro de los casos hay cerca de diez o más metros de distancia- utiliza un aparato inalámbrico para, aparentemente, captar la señal que ha emitido el mando del Honda.
Después, capturada la frecuencia y ‘apuntando’ con la antena del dispositivo hacia el coche mientras se mantiene pulsado un botón -que, según explican, es para transmitir un código ‘hecha a mano’-, y tras esperar unos 15 segundos -aunque en uno de los casos que se ven, apenas son cinco segundos-, se observa que los intermitentes del coche ‘atacado’ parpadean un par de veces y los espejos retrovisores se despliegan, al tiempo que se desbloquean los seguros de las puertas.
En unos vídeos, la operación la llevan a cabo una vez, y en otro la repiten un par de veces, para demostrar -en teoría- que su experimento tiene éxito, se haga las veces que se quiera. Al final de todos ellos, también se sobreimprime un mensaje en el vídeo, con el mensaje de que ‘la seguridad del coche ha sido comprometida’.
Aseguran los investigadores que a este ataque no le han llamado Honda-PWN, sino Rolling-PWN porque, aunque ha sido ‘protagonizado’ por los modelos de esta firma japonesa, aseguran que es un error extensible a otras marcas de vehículos y que pronto facilitarán más detalles.
Además, opinan que este fallo -cuya referencia oficial es CVE-2021-46145, siendo ‘CVE’ el estándar para nombres de vulnerabilidades de la información- no deja rastro y que “considerando la facilidad de explotación”, es una amenaza que debería tomarse muy en serio. Por otro lado, el equipo de Star-V Lab añade que además de abrir el coche… también se podría arrancar a distancia -aunque en los vídeos no se evidencia ese hecho-.
Finalmente, los autores del experimento aseguran que han intentado buscar en la web oficial de Honda algún sitio donde puedan reportar la supuesta vulnerabilidad y así hacérselo saber a los responsables de la marca, pero que no lo han encontrado.
Según un portavoz de Honda contactado por los investigadores, en caso de que un cliente pueda encontrar una vulnerabilidad de este tipo o se vea afectado por este fallo, lo aconsejable, es que pueda contactar con el servicio de atención al cliente del país donde viva. En el caso de España, existe un centro de atención con el número de teléfono 902 42 46 46, disponible de lunes a viernes de nueve de la mañana a siete de la tarde, o bien enviar un mensaje desde un formulario en la web de Honda automóviles.
Por otro lado, el portavoz de Honda con el que hablaron, primero negó la existencia del error. “Los mandos de los vehículos a los que se hace referencia están equipados con tecnología de código variable que no permitiría la vulnerabilidad representada en el informe”.
Sin embargo, cuando le comentaron que otro investigador, Rob Stumpf, había confirmado y reproducido el error, la firma japonesa dijo que, en efecto, “con el método empleado “es posible imitar los comandos remotos sin llave y obtener acceso a ciertos vehículos”. También consideran que “supone un riesgo bajo para los clientes, y Honda mejora regularmente las características de seguridad a medida que se introducen nuevos modelos” que frustrarían este y otros enfoques similares. Así que crucemos los dedos”.
Por nuestra parte, después de ver los vídeos -con una calidad de grabación algo precaria-, nos ha surgido una serie de preguntas que también procederemos a investigar y dar respuesta, con el objetivo de comprobar si lo que aparece en el material audiovisual es veraz y no se ha falseado.
Por ejemplo, analizaremos si realmente el ataque es ‘real’ o podría haberse simulado utilizando un segundo mando a distancia por parte de otra persona que no aparece en los planos grabados -en algunos de ellos, para darle ‘autenticidad’ al ataque, se ve a un investigador que bloquea el coche con su mando a distancia y lo deja en el suelo… para, posteriormente, verse que el vehículo se abre igualmente sin usar el mando ‘legítimo’-. En ningún caso se pone a prueba el arranque del Honda, aunque digan que se puede hacer.
Asimismo, en otro de los vídeos se observa cómo llevan la operación en varios parking con muchas unidades de modelos de Honda aparcados… y que cuando lanzan el comando de apertura, solo logran resultados en una de las unidades, cuando ellos aseguran que todos los modelos de Honda se ven afectados.
Esta noticia está en desarrollo y se irá actualizando con nueva información y la versión oficial de la marca en España.
