Hackeo de coches: menos fallos de software, pero más en apps y la nube

Investigadores de la Universidad de Gotemburgo y de la Universidad Tecnológica de Chalmers han documentado 413 vulnerabilidades de software en automóviles entre 2022 y 2024. La cifra parece alta, pero un análisis anterior contó 363 solo en 2019. El número de fallos conocidos por año, por tanto, ha descendido. Los autores advierten de que no hay motivo para relajarse, porque el tipo de vulnerabilidad ha cambiado.

La superficie de ataque sale del vehículo

«Hace diez años, la mayoría de las vulnerabilidades se descubrían en los sistemas del propio vehículo», afirma Srijita Basu, primera autora del estudio. «Hoy, la proporción de debilidades halladas en aplicaciones, sitios web y servicios en la nube casi se ha triplicado.» Esos sistemas pueden revelar muchos datos personales, como el domicilio, el lugar de trabajo, las aficiones o el colegio de los hijos. Es lo que ocurrió con Volkswagen en 2024.

El sistema de infoentretenimiento debería estar estrictamente separado de funciones críticas como el ABS, el ESP o la asistencia a la conducción. No siempre es así: en 2015, unos investigadores controlaron a distancia los frenos, el acelerador y el cierre de puertas de un Jeep Cherokee a través de ese sistema. Según el artículo, el sector no ha aprendido lo suficiente: el infoentretenimiento y la telemática, considerados poco críticos, suelen servir de puente hacia redes más sensibles, y los fallos se deben sobre todo a software de terceros.

Basu se muestra sorprendida por lo elementales que son algunas debilidades, como contraseñas que no se han cambiado desde la instalación. El producto más vulnerable fue la herramienta de código abierto Grafana, y los métodos de ataque más frecuentes, la inyección SQL y el cross-site scripting.

Por qué importa

Cuanto más conectados están los coches, por ejemplo al transmitir vídeo o comunicarse con los puntos de recarga, mayor es la superficie de ataque. Y cuanto más confían los conductores en los sistemas de asistencia, más graves serían las consecuencias de un hackeo. Un mejor cifrado no bastaría: el problema de fondo es la falta de comprobaciones de autorización. El usuario inicia sesión, pero no siempre se verifica si puede acceder al vehículo solicitado y activar esa función.

Basu recomienda a los fabricantes aprender del mundo web y de TI, donde muchos de estos fallos se conocen desde hace años. A los conductores les aconseja usar contraseñas robustas e instalar las actualizaciones con regularidad.