Los aficionados a la automoción están al tanto de las novedades que presentan el coche conectado y de los ataques que pueden sufrir. Ya no es ciencia ficción. La industria de los vehículos conectados se encuentra en pleno desarrollo y todo hace pensar en que eldenominado vehículo autónomo va a ser una realidad en las próximas décadas, y con ello la necesidad de establecer prioridades muy importantes en cuanto a suciberseguridad. Las nuevas funciones de estos coches, que palíanlos errores humanes, han surgido con el objetivo de mejorar tanto la seguridad como la comodidad del usuario, pero añaden complejidades y lagunas en este ámbito en todo el sistema automovilístico.
Según informa Europa Press, los coches conectados modernos ahora comparten redes con dispositivos móviles e incorporan características que tienen más en común con los ordenadores que con los vehículos tradicionales. Lamentablemente, la mayor demanda de conectividad, así como el rápido ritmo de desarrollo para satisfacerla, aumentan inevitablemente la cantidad de componentes expuestos y vulnerables, tal y como advierten desde Trend Micro.
Esta tendencia parece imparable. Se espera que el mercado mundial de coches conectados crezca un 270 % a lo largo del año 2022. Igualmente, se prevé que la industria automotriz domine la demanda de conectividad para 2023, según datos de un informe de la firma de investigación de mercado Counterpoint Insights.
Ya existen en estos momentos riesgos de ataques a los coches que están conectados. Los automóviles de hoy cuentan con sistemas que se conectan a otros vehículos, dispositivos móviles, infraestructura de tráfico y sistemas en la nube para la supervisión de cuestiones como la seguridad del tráfico y los peatones, la vigilancia y gestión remota de vehículo o para los sistemas de alerta de emergencia. Elementos que podrían ser objetivo de los ciberdelincuentes y que deben contar con mayores garantías, según los expertos.
Desde 2018, más de 80 organizaciones de todo el mundo han participado en la creación de la norma ISO/SAE 21434 'Vehículos de carretera - Ingeniería de ciberseguridad', que incluye un conjunto de directrices para asegurar los procesos de alto nivel en las fases de diseño, fabricación, mantenimiento y fin de la vida útil de los vehículos, de manera que se cumpla con los requisitos del nivel de seguridad.
Las principales amenazas del vehículo conectado
Los investigadores han encontrado una cantidad significativa de vectores de ataque en los coches conectados. Estos vehículos se conectan siempre que se encuentren dentro del alcance de una red celular o a través de canales de radiofrecuencia de corto alcance, de forma muy similar a como se suele activar el Bluetooth o el WiFi. Los cibercriminales pueden abusar de estas brechas de seguridad y sin parches para interceptar y robar información, interrumpir las funciones normales del automóvil o incluso atacar a los usuarios y poner en peligro sus vidas.
La industria debe "abordar y mitigar vulnerabilidades", tal y como alerta David Sancho, Senior Threat Researcher de Trend Micro. Uno de estos puntos débiles es un sistema de cadena de suministro altamente escalonado, que puede provocar importantes retrasos a la hora de actualizar el firmware de las unidades de control de motor (ECU) cuando se detecta cualquier problema técnico.
El vector de los ataques a los coches conectados
Desde Trend Micro también advierten de que algunos de los protocolos utilizados para las interconexiones ECU no han sido diseñados para incluir características de ciberseguridad. Por ejemplo, las transferencias de datos no están cifradas y los emisores y receptores no están autenticados. Asimismo, indican que hay "productos y servicios de posventa inseguros".
Los dispositivos de Internet de los vehículos (IoV) instalados en los automóviles, como los dispositivos multimedia con capacidad Bluetooth o WiFi, están disponibles para su compra e instalación. Sin embargo, la mayoría de estos dispositivos funcionan con un firmware inseguro o anticuado, lo que permite a los atacantes explotar los sistemas no parcheados para entrar y moverse lateralmente para enviar códigos maliciosos a los sistemas del vehículo.
Se podría incluso detener la conducción en marcha
A la hora de hablar sobre las consecuencias de un ciberataque a un vehículo conectado o autónomo, David Sancho distingue entre dos cuestiones: lo que se puede hacer frente a lo que es probable que el cibercriminal haga. En este sentido, indica que hay situaciones extremas, como es el hecho de que el hacker tome el control total de un vehículo, que son "altamente improbables, pero no imposibles".
La conectividad del vehículo está vertebrada por un sistema llamado el CAN Bus (Controller Area Network). Éste se encarga de conectar todos los sistemas del vehículo, desde los dispositivos de conducción (marchas o aceleración) hasta los de entretenimiento. "Si se encuentra una vulnerabilidad explotable desde fuera, se podría -teóricamente- incluso detener la conducción en marcha. Esto sería obviamente un peligro extremo para los ocupantes", explica el experto de Trend Micro, insistiendo en que "acceder a los sistemas de conducción es algo especialmente complicado".
En cualquier caso, Sancho incide en que un criminal no se va a entretener en hackear un vehículo sin un plan detrás que lo haga económicamente rentable. Por ello, cree que el plan más sencillo sería el acceder al sistema de seguridad desde fuera con el propósito de desmontarlo y así poder entrar al vehículo y desvalijarlo.
También sería posible crear 'ransomware' para coches que inhabilite la conducción hasta que se pague un rescate. Sin embargo, a día de hoy parece poco probable, ya que la dificultad de instalar un programa de ese estilo es muy alta y el beneficio bastante dudoso. Según donde se encuentre el vehículo el ocupante llamaría al seguro o al soporte de la empresa para que lo vaya a buscar o le cambie el coche por otro.
Otra gran preocupación son los datos de los clientes
Otro factor a tener en cuenta es la protección de los datos de los clientes, que también pueden ser el botín de los ataques a coches conectados. Los fabricantes están configurando los coches para que recojan y transmitan una gran cantidad de información detallada, como la ubicación del automóvil, la velocidad e incluso las alertas del conductor; en otras palabras, cómo, dónde y en qué condiciones conduce alguien. Igualmente, se están preparando para desplegar paquetes de conectividad que permitan a los propietarios interactuar con proveedores de servicios y, por ejemplo, realizar compras con tarjeta de crédito desde el coche mientras conducen. Todo esto podría servir como información objetivo de los hackers.
Aunque las probabilidades de que se produzcan ataques a gran escala no sean muy grandes en estos momentos, la industria automovilística se ha dado cuenta de la importancia crítica de la ciberseguridad en los coches conectados y su infraestructura relacionada. "Es un hecho que, a medida que los coches se vuelven cada vez más digitales y conectados, debemos preocuparnos más por la ciberseguridad. Nuestra obligación como expertos es vigilar y actuar contra las posibles vulnerabilidades y velar por la seguridad", concluye Sancho.
El tema preocupa. De hecho, el vídeo que te mostramos tiene más de cuatro millones de visitas en Youtube. Muestra el hackeo que realizaron dos avezados hackers éticos a un Jeep a kilómetros de distancia, algo que muestran detalladamenete al periodista Andy Greenberg, las imágenes resultan escalofriantes, a pesar del sentido del humor que demuestra el ciberatacado en todo momento. Andy ha orientado su carrera a la tecnología; y muy en especial, alas libertados civiles digitales. Trabaja para la publicación Wired. Este vídeo que muestra lo sencillo que resultan los ataques a coches conectados está considerado como épico, y no benefició mucho Jeep.