Resumen:
A medida que los automóviles se vuelven cada vez más inteligentes y conectados en red, los riesgos de ciberseguridad que enfrentan los vehículos están experimentando cambios importantes. Una nueva investigación muestra que el eslabón de seguridad más débil en los automóviles modernos no está cada vez más en el vehículo en sí, sino en las aplicaciones, sitios web y servicios en la nube conectados al automóvil.
Un equipo de investigación de la Universidad de Gotemburgo y la Universidad Tecnológica de Chalmers en Suecia analizó 413 vulnerabilidades de seguridad de software automotriz informadas públicamente entre 2022 y 2024 y comparó los resultados con datos de la década anterior. Las investigaciones han descubierto que los atacantes están cambiando su enfoque de los sistemas internos del vehículo a la infraestructura digital fuera del vehículo.
Los investigadores señalaron que hace diez años la mayoría de las vulnerabilidades de seguridad existían principalmente en el propio sistema del vehículo, pero ahora la proporción de vulnerabilidades en aplicaciones, sitios web y plataformas en la nube es casi tres veces mayor que en estudios anteriores. Esto significa que es cada vez más probable que los piratas informáticos lleven a cabo ataques o roben datos a través de los servicios en línea del fabricante del automóvil en lugar de acceder directamente al vehículo.
A medida que los automóviles se convierten en dispositivos altamente conectados, están en comunicación constante con la plataforma en la nube del fabricante, el teléfono inteligente del propietario, las instalaciones de carga y los servicios de Internet. Cada punto de conexión es un punto de entrada potencial para una intrusión. Los investigadores señalaron que estos sistemas externos almacenan una gran cantidad de información del usuario, incluidas ubicaciones de residencia, rutas de conducción, ubicaciones de estacionamiento y patrones de actividad diaria. Una vez comprometidas, las consecuencias no sólo pueden limitarse a la seguridad del vehículo, sino que también implican graves filtraciones de privacidad.
El estudio citó un caso típico. En diciembre de 2024, se descubrió que se podía acceder a datos relacionados con aproximadamente 800.000 vehículos de múltiples marcas del Grupo Volkswagen en Internet. Los datos incluyen información precisa de ubicación GPS, así como la dirección de correo electrónico, el número de teléfono y la dirección particular del propietario del vehículo. Debido a que la vulnerabilidad existe en el sistema de servicio en la nube del que depende la carga de datos de vehículos, personas externas pueden incluso ver cuándo y dónde ha aparecido un vehículo específico. Afortunadamente, la vulnerabilidad se solucionó antes de que se confirmara que había sido explotada maliciosamente.
El equipo de investigación dijo que les sorprendió lo básicas que son algunas de las vulnerabilidades. Algunos problemas incluso surgen de fallas de seguridad tradicionales, como contraseñas predeterminadas que no se cambian después de la implementación, lo que permite a los atacantes obtener acceso al sistema utilizando vectores de ataque comunes de larga data.
Además de los servicios en la nube, los sistemas de información y entretenimiento a bordo de los vehículos siguen siendo una de las fuentes importantes de riesgos. Los investigadores señalaron que si no hay suficiente aislamiento entre los diferentes sistemas dentro del vehículo, los atacantes pueden obtener acceso al sistema de información y entretenimiento conectándose a la red Wi-Fi del vehículo y obtener acceso a otros sistemas críticos.
El caso más famoso en el campo de la ciberseguridad automotriz ocurrió en 2015. En ese momento, investigadores de seguridad tomaron con éxito algunas funciones de control de un Jeep Cherokee de forma remota a través del sistema de entretenimiento del vehículo, incluidos los controles de dirección, frenado y aceleración. Este incidente conmocionó a toda la industria automotriz y llevó a las principales empresas automotrices a fortalecer la construcción de seguridad de la red.
Sin embargo, las investigaciones señalan que la amenaza más común hoy en día no es necesariamente el control remoto de vehículos, sino el robo de información personal. La gran cantidad de datos de ubicación y comportamiento generados por los vehículos cada día puede revelar los hábitos de vida, el lugar de trabajo y los patrones de viaje del propietario del vehículo. Este tipo de información es extremadamente valiosa para los ciberdelincuentes.
Los resultados de la investigación muestran que a medida que los automóviles evolucionan gradualmente hasta convertirse en "computadoras sobre ruedas", la seguridad de la red ya no es solo una cuestión de prevenir el robo de vehículos, sino una cuestión importante relacionada con la privacidad del usuario, la protección de datos e incluso la seguridad en la conducción. Los investigadores piden a los fabricantes de automóviles que fortalezcan la seguridad de los sistemas de los vehículos y al mismo tiempo refuercen la protección de seguridad de los servicios de aplicaciones, las plataformas en la nube y la infraestructura backend para hacer frente a la creciente superficie de ataque digital.
Más información:
https://link.springer.com/article/10.1007/s11219-026-09787-y
Comentarios