Si usted tiene un coche con ‘infotainer’ (el módulo que agrupa el reproductor multimedia, el navegador y otros elementos de conectividad) y lo tiene configurado para que reconozca su domicilio, debe saber que existe la posibilidad de que los ciberdelincuentes acaben averiguando dónde vive… entre otros muchos datos personales sensibles.
La voz de alarma la ha dado un estudio de la empresa de ciberseguridad Lazarus Technology, con datos de la Dirección General de Tráfico (DGT) y de la Asociación Española de Fabricantes de Automóviles y Camiones (ANFAC), que advierte de la vulnerabilidad del parque automovilístico español: de los 29 millones de vehículos que circulan por nuestras carreteras, al menos 15 millones pueden ser objeto de ataques de ciberdelincuentes. Según el estudio, el año pasado los delitos relacionados con este fenómeno crecieron un 40%.
El robo del vehículo no es el principal objetivo de los ladrones, sino hacerse con datos personales para luego revenderlos
Más de la mitad de los vehículos españoles (51,7%) son, por tanto, susceptibles de sufrir un ciberataque mediante el cual los ladrones pueden sustraer datos personales, conocer ubicaciones visitadas por el conductor, saber qué mensajes han enviado o incluso bloquear el vehículo para pedir rescate. En los casos más extremos, se han dado situaciones en las que los hackers han logrado detener un coche contra la voluntad del conductor. No sucedió en España sino en Estados Unidos, pero sí con un modelo (el Jeep Cherokee) que se comercializa en nuestro país.
El infotainer o módulo multimedia es el principal objetivo de los ‘hackers’ / Omoda
El incremento de este tipo de situaciones las ha convertido en uno de los miedos más recurrentes entre los conductores. Según una encuesta realizada por el RACE en febrero, el 84,47% de los automovilistas españoles reconoce estar preocupado por la posibilidad de ser víctima de un ciberdelito relacionado con su coche. El 75,26% declara sentir algún tipo de preocupación por ver su coche bloqueado por un hacker a cambio de un rescate económico. Y el 87,06% declara sentir algún tipo de preocupación por el coste económico de reparar el software de su vehículo.
Aunque el 84,4% de conductores teme sufrir un ciberataque, solo el 3,4% lo ha sufrido o conoce a alguna víctima
El estudio ha sido elaborado a través de casi un millar de entrevistas online a conductores españoles, de los cuales, «solamente el 3,4% de los encuestados declaró haber sido víctima de un ciberdelito relacionado con su coche o conocer a alguien que lo ha sido», tal y como han explicado fuentes del RACE a EL PERIÓDICO.
«El infotainer suele sincronizarse con el teléfono móvil del conductor, por lo que el delincuente puede acceder a información sensible del usuario»
La progresiva automatización de los coches ha llevado a que los modelos más recientes sean «ordenadores con ruedas», como ya en 2018 preveía Jordi Serra, profesor de Estudios de Informática, Multimedia y Telecomunicación de la UOC, en un artículo especializado.
Ahora nos encontramos con un escenario pujante. En 2030, el 95% de los coches nuevos en la carretera tendrán los elementos de conectividad propicios para ser hackeados, según datos de la consultora especializada McKinsey & Company. Pero, ¿cuáles son esos elementos que hacen que nuestros vehículos sean objetivo de los delincuentes?
Las centralitas
EL PERIÓDICO ha hablado sobre la cuestión con la empresa gallega Tarlogic, especializada en ciberseguridad. Sus investigadores ya advirtieron hace un año de que un chip de origen chino presente en multitud de dispositivos electrónicos (llamado ESP32), que contiene una funcionalidad oculta en el sistema bluetooth con una serie de comandos no documentados, podría utilizarse para realizar ataques.
¿Dónde están los puntos débiles? En las centralitas o vías de entrada. Miguel Tarascó Acuña y Antonio Vázquez Blanco, investigadores de Tarlogic, explican que los coches «no suelen tener una sola centralita. Lo habitual es que tengan al menos tres: una para el wifi y el bluetooth, otra para los puertos USB y otra para funciones como los faros direccionales».
“Se espera que a corto y medio plazo los ataques a vehículos conectados aumenten a medida que su dependencia del software y de la conectividad con servicios en la nube se intensifique”.
En esta última vía, por ejemplo, los ladrones de coches encontraron un filón en los Toyota del modelo Rav-4 fabricados entre noviembre de 2018 y septiembre de 2022. Simplemente retirando uno de los faros, podían acceder a esta centralita que les permitía encender el coche. Después desactivaban el GPS y se llevaban los vehículos a Gambia. El fabricante resolvió el problema posteriormente.
Delincuentes expertos podrían incluso modificar la trayectoria del coche o manejarlo a su antojo. El hecho de que en 2015 unos hackers consiguiesen detener, a distancia y contra la voluntad del conductor, un Jeep Cherokee, que circulaba por una autopista estadounidense, demostró este punto. Desde Tarlogic apuntan que este extremo «es mucho más difícil, y si no se hace es porque el actor malicioso lo que quiere es obtener algún beneficio. Manipulando un coche para que se estrelle no obtendrían ese beneficio y podrían ser rastreados».
El objetivo: datos de valor
De hecho, el robo del vehículo no es el principal objetivo de los ladrones que atacan los sistemas de conectividad de un coche. Es más atractivo para ellos hacerse con datos personales para luego revenderlos. «El ‘infotainer’ suele sincronizarse con el teléfono móvil del conductor, por lo que el delincuente puede acceder a información sensible del usuario. Sus contactos, las ubicaciones en las que ha estado, su domicilio o incluso los mensajes que ha mandado. Si la víctima es una persona de interés, lo que persiguen los delincuentes es robar sus datos para luego chantajearle», cuenta Tarascó.
Casi todos los coches nuevos cuentan con el módulo multimedia / Toyota
La vulnerabilidad del vehículo puede hallarse en el software (las aplicaciones y programas que hacen que el ‘infotainer’ funcione) o en el hardware (las piezas físicas). Según los portavoces de Tarlogic, «cuando se trata de un fallo en el software se puede solucionar con una actualización. Si el fallo es de hardware, es mucho más difícil que se pueda subsanar. Ya dependería de que el fabricante lo identifique, lo notifique a los propietarios y lo sustituya».
Las expectativas no son halagüeñas; Juan Manuel Martínez Alcalá, CTO de Lazarus Technology, advierte de que «se espera que a corto y medio plazo los ataques a vehículos conectados aumenten a medida que su dependencia del software y de la conectividad con servicios en la nube se intensifique».
Suscríbete para seguir leyendo
