Si oyes algo sobre el hacking de automóviles, probablemente pensarás que están hablando de una escena de la película más reciente de Duro de matar o de la saga de James Bond, pero la verdad es que este tipo de ataques es real, relevante y seguramente ocurra mucho más seguido en el futuro. A continuación, hablaremos de los hechos más importantes sobre esta tendencia que va en aumento.

#1 Hace por lo menos hace seis años desde que se comprometieron los primeros autos

Aunque el hacking de automóviles comenzó a ser noticia en los últimos tres años aproximadamente, ya se sabía de las vulnerabilidades de los vehículos desde hace, por lo menos, más de media década: en el año 2010, un grupo de investigadores de la Universidad de Washington y de la Universidad de California en San Diego publicaron un artículo en el que informaron que habían logrado tomar el control de un automóvil aprovechando sus vulnerabilidades inalámbricas.

En ese artículo emblemático se explica que, a medida que se agrega más y más tecnología a los automóviles, los ciberdelincuentes pueden “infiltrarse, prácticamente, en cualquier unidad de control electrónico… [y] así eludir por completo una variedad de sistemas esenciales para la seguridad”.
Los investigadores mostraron que, a través de una serie de pruebas, pudieron adquirir el control del automóvil con el que experimentaban: lograron manipular la radio y, lo que resulta más grave, desactivar tanto los frenos como el motor.

En ese entonces, el equipo prefirió mantener en secreto el nombre del fabricante del automóvil. Sin embargo, unos años después se reveló que el auto era un Chevrolet Impala modelo 2009 de la empresa General Motors.

#2 Por las fallas de seguridad, muchos automóviles son llamados a revisión

A principios de 2015, dos investigadores estadounidenses, Charlie Miller y Chris Valasek, lograron lo que nadie había podido hacer hasta entonces en cuando comprobaron que el Jeep Cherokee modelo 2014 tenía una falla muy importante. Aprovechando las vulnerabilidades del sistema de radio del vehículo, pudieron controlar de manera remota el aire acondicionado, la radio, los frenos y el motor. Incluso pudieron detener el automóvil con un periodista adentro.

Miller y Valasek fueron responsables y le informaron las fallas al fabricante en cuanto las descubrieron, por lo que la empresa Fiat Chrysler Automobiles realizó un llamado a revisión en los Estados Unidos de 1,4 millones de vehículos Jeep, Dodge y Chrysler para actualizar el software.

En su artículo, los investigadores relatan: “Elegimos el Jeep Cherokee modelo 2014 porque sentíamos que era la mejor opción para comprobar que un atacante podría poner en peligro un vehículo de manera remota enviando mensajes que invadan la privacidad del conductor y que realicen acciones físicas”.

#3 Los componentes de un automóvil también son vulnerables

Como hay una demanda creciente de “vehículos conectados”, muchos cuestionan las repercusiones de seguridad que han tenido las fallas mencionadas, pero debemos hacer hincapié en que los componentes del vehículo también son vulnerables. Por ejemplo, el inmovilizador. En un estudio, los investigadores Roel Verdult, Flavio Garcia y Baris Ege demostraron que los ciberdelincuentes podían desactivar este dispositivo electrónico de seguridad y apropiarse del vehículo sin necesidad de una “llave de verdad”. La investigación detalla cómo aprovecharon las vulnerabilidades de los protocolos de criptografía y autenticación que se usan en el transpondedor RFID Megamos Crypto (presente en muchos inmovilizadores).

“Las implicaciones de los ataques son graves para aquellos vehículos que tienen el sistema de arranque sin llave. En algún momento, se decidió eliminar la llave física, pero no se reforzaron los mecanismos de criptografía para amortiguar la pérdida”, dijeron los investigadores.

Su artículo explica: “Las implicaciones de los ataques que presentamos en este artículo son especialmente graves para aquellos vehículos que tienen el sistema de arranque sin llave. En algún momento, se decidió eliminar la llave física, pero no se reforzaron los mecanismos de criptografía para amortiguar la pérdida”.

Otra vulnerabilidad bien documentada proviene de las memorias USB que se usan para acceder al OBD (Sistema de navegación a bordo) para revisar los hábitos de manejo del vehículo. A comienzos de este año, la aseguradora estadounidense Progressive estuvo en el ojo de la tormenta por entregar unidades flash USB inseguras.

El investigador Corey Thuen le dijo a Forbes: “El firmware que tiene la unidad es deficiente e inseguro. No valida ni verifica las firmas de las actualizaciones de firmware, no tiene secure boot, no tiene autenticación móvil [etc.]… básicamente, no utiliza ningún tipo de tecnología de seguridad”.

#4 Los agentes internos continúan siendo un peligro

En cualquier empresa, los empleados disconformes pueden convertirse en un riesgo para la seguridad de la información. La concesionaria de automóviles Texas Auto Center lo comprobó en 2010, cuando un exempleado se infiltró en el sistema de inmovilización remota localizado en la Web para desactivar y manipular a más de 100 autos. Los clientes de la concesionaria se quejaron de que su vehículo no arrancaba o de que, en el medio de la noche, se activaba la alarma sin razón aparente.

En su momento, Wired informó: “Los sistemas de inmovilización remota de vehículos, que salieron al mercado hace diez años aproximadamente, son una solución controvertida a los pagos atrasados, y se los critica porque los deudores pueden quedar envueltos en situaciones humillantes innecesarias y quedar varados en situaciones de emergencia”.

#5 No necesitan estar conectados a Internet

Se suele pensar que solo los vehículos conectados pueden sufrir un ataque, pero lo cierto es que también pueden manipularse los que no están conectados, tal y como informó el sitio Dark Reading hace unos meses. Según la noticia, la policía del estado de Virginia logró manipular, a través de una serie de experimentos, a unos automóviles Chevrolet Impala modelo 2012 y Ford Taurus modelo 2013.

Los investigadores de este proyecto en marcha, en el que también participan la organización MITRE, el Departamento de Vehículos Motorizados y la Universidad de Virginia, descubrieron que podían impedir que entraran los cambios, aumentar la velocidad y, lo que es más importante, encender y apagar el motor por completo.

Además, los investigadores de MITRE escribieron un código de ataque que abrió el baúl, destrabó las puertas de los pasajeros, trabó la puerta del conductor, activó el limpiaparabrisas e hizo salir el líquido de limpieza.

No les fue sencillo atacar porque tuvieron que tomar el control de los sistemas informáticos del vehículo policial, para lo que fue necesario acceder al auto físicamente. Los primeros ataques de MITRE se hicieron con una aplicación de teléfono móvil que estaba conectada a un dispositivo del vehículo mediante el Bluetooth.

Si bien para lanzar un ataque de esta naturaleza se deben conocer los detalles electrónicos del modelo elegido y tener acceso físico al vehículo, estos experimentos comprueban que se lo puede vulnerar aun cuando no esté conectado a Internet.

#6 Lleva años aplicar un parche

La administración de parches continúa siendo uno de los mayores desafíos para los especialistas en seguridad de la información y las automotrices, que —según muchos creen— no terminan de comprender la gravedad de la situación.

Tal es la opinión del senador estadounidense Edward Markey, quien escribió un informe en febrero 2015 en el que critica a la industria automotriz por no haber ofrecido una respuesta contundente ante los problemas de seguridad.

“Los conductores confían en estas tecnologías modernas —dice— pero, por desgracia, las automotrices no cumplieron con su obligación de protegernos de los ciberataques ni de las invasiones a la privacidad. A pesar de que los autos y las camionetas están cada vez más conectados, los sistemas informáticos y la seguridad de la información continúan desprotegidos”.

A modo de ejemplo, podemos citar el incidente del Chevrolet Impala modelo 2009 que citamos al comienzo del artículo y que General Motors tardó cinco años en resolver, según informó Wired en septiembre.

“Es triste que la industria no haya estado en condiciones de resolver este problema en su momento, y que hoy, cinco años después, todavía no haya una respuesta a incidentes universal ni un sistema de actualizaciones automáticas”, comenta Karl Koscher, investigador en seguridad.

#7 Los ciberdelincuentes podrían atacar a los automóviles automáticos

Los ciberdelincuentes ya tienen por blanco a las automotrices, pero la gravedad de los ataques puede empeorar ahora que los automóviles automáticos están cada vez más cerca de convertirse en realidad.
Varios especialistas en seguridad manifiestan su preocupación por los peligros que pueden venir de la mano de los automóviles automáticos, y algunos incluso los demostraron. Jonathan Petit, investigador principal de la empresa de software de seguridad Security Innovation, descubrió que, con un simple puntero láser, se puede interferir con los sistemas LIDAR, que son los que utiliza la mayoría de estos vehículos para guiarse.

El sistema LIDAR crea un mapa tridimensional emitiendo un rayo láser que se refleja en los objetos que hay delante del vehículo, por lo que el sistema recibe un pulso que permite que el vehículo “vea” los obstáculos que hay en el camino. Sin embargo, Petit descubrió que si se apunta al vehículo con un puntero láser y el sistema LIDAR lo detecta, el vehículo interpreta que tiene algo adelante y frena de golpe. El atacante también puede enviar una seguidilla de señales falsas, de modo que el vehículo frene para no colisionar contra obstáculos que, en realidad, no existen.

“Hay distintos modos de resolver esta cuestión —explicó Petit en la reunión con IEEE Spectrum—. Por ejemplo, mediante un sistema robusto que detecte incongruencias, se puede verificar la información y descartar los peligros irreales. No creo que las automotrices lo hayan pensado todavía, así que esta puede ser una llamada de atención importante”.