Por Canuto  

Un análisis de investigadores de la Universidad de Gotemburgo identificó 413 vulnerabilidades conocidas en componentes vinculados con coches conectados. El estudio no demostró que esas fallas permitieran tomar el control de los frenos o la dirección, pero advierte que el peso creciente de las aplicaciones y los servicios en línea amplía la superficie de riesgo.
***

  • El análisis reunió 413 vulnerabilidades reportadas entre enero de 2022 y septiembre de 2023; el 16% fue clasificado como crítico.
  • Las fallas se concentran en aplicaciones externas y software integrado, mientras que el ecosistema digital conectado al vehículo amplía la superficie que debe protegerse.
  • La autora principal recomienda incorporar la ciberseguridad desde el diseño; a los conductores les aconseja actualizar programas y proteger sus cuentas.

Un estudio detecta cientos de vulnerabilidades en autos conectados, pero no prueba control de sus sistemas

Los coches conectados dependen de programas y servicios digitales que van mucho más allá de los sistemas instalados en el vehículo, y esa arquitectura también puede abrir puertas a problemas de seguridad. Investigadores de la Universidad de Gotemburgo identificaron 413 vulnerabilidades conocidas relacionadas con automóviles conectados en un análisis de registros publicados entre enero de 2022 y septiembre de 2023.

El hallazgo merece atención, aunque no equivale a demostrar que los fallos permitieran controlar los frenos, la dirección o la aceleración: el estudio no probó esa posibilidad con las vulnerabilidades examinadas. La preocupación se centra en que, si un atacante encuentra una ruta entre componentes y supera las barreras de seguridad, podría comprometer funciones del vehículo o acceder a datos personales, según advirtió la autora principal, Srijita Basu.

Qué encontró el análisis y qué no demuestra

El equipo revisó la Base de Datos Nacional de Vulnerabilidades de Estados Unidos, un registro gubernamental de fallos de software conocidos, para identificar problemas asociados con coches conectados. El periodo examinado abarcó desde enero de 2022 hasta septiembre de 2023 y permitió reunir 413 vulnerabilidades reportadas previamente, no fallas nuevas descubiertas de forma experimental por los investigadores.

La distinción importa porque el número contabiliza debilidades documentadas que afectan componentes vinculados con estos vehículos, pero no indica cuántos coches fueron atacados ni cuántos conductores resultaron afectados. Tampoco prueba que cada vulnerabilidad pueda explotarse a distancia o dé acceso directo a sistemas sensibles, ya que la posibilidad depende del nivel de acceso disponible y de la arquitectura de seguridad de cada automóvil.

En el artículo publicado en Software Quality Journal, los investigadores no demostraron el control de los frenos ni de otras funciones de conducción mediante las 413 vulnerabilidades revisadas. Basu señaló que identificar una falla no significa automáticamente que un atacante pueda explotarla de forma remota, y añadió que la gravedad depende de factores adicionales, entre ellos la manera en que el vehículo separa sus distintos sistemas.

La advertencia, por tanto, describe un riesgo potencial y no un ataque confirmado contra los autos incluidos en el análisis. Basu dijo al Daily Mail que especialistas en ciberseguridad consideran técnicamente posible que ocurra un ataque de este tipo, pero la investigación citada no presenta pruebas de que las vulnerabilidades analizadas hayan permitido tomar el control de un vehículo.

El riesgo se extiende al ecosistema digital

Los automóviles actuales ya no funcionan como sistemas aislados: se conectan con aplicaciones móviles, servicios en línea, plataformas de computación en la nube y aplicaciones web. Esa dependencia amplía el número de componentes que deben protegerse, porque una debilidad en un servicio externo puede formar parte del panorama de seguridad del vehículo, aunque no esté alojada físicamente dentro del coche.

Las aplicaciones externas reunieron el 36,2% de las vulnerabilidades del conjunto analizado, la mayor proporción entre las categorías examinadas. En segundo lugar apareció el «sistema en chip y software embebido», que comprende programas integrados en el automóvil, incluidos los vinculados con el GPS y las llaves remotas, con el 23,5% de los casos.

El estudio también analizó bibliotecas de software, componentes preparados que los programadores incorporan a sus productos en lugar de desarrollar cada función desde cero. Para revisar esa dimensión, los investigadores utilizaron cinco herramientas de análisis sobre 20 proyectos de código abierto empleados en software automotriz y encontraron 827 bibliotecas vulnerables.

Al comparar sus resultados con un estudio anterior que cubría de 2010 a 2019, los autores observaron un cambio en la ubicación del riesgo: antes, las vulnerabilidades se concentraban principalmente en los sistemas informáticos instalados físicamente en el automóvil. Ahora, según Basu, proteger un vehículo moderno exige atender también los servicios y componentes digitales externos que interactúan con él.

Más fallas críticas y antecedentes de ataques

Otra señal destacada por los investigadores es el aumento de la proporción de vulnerabilidades catalogadas como críticas. Esa categoría pasó del 5% en 2019 al 16% en 2023, más del triple, aunque esa clasificación por sí sola no significa que todos esos fallos puedan explotarse desde internet ni que conduzcan necesariamente a controlar sistemas de conducción.

Entre las debilidades identificadas aparecen problemas conocidos en la seguridad web, como la inyección SQL, que puede permitir manipular la conexión entre una aplicación y su base de datos. En un servicio conectado con un vehículo, una exposición de ese tipo podría poner en riesgo información como datos del automóvil, registros de viajes u otros datos sensibles de clientes, según la descripción del estudio.

Los autores también identificaron fallas relacionadas con la escalada de privilegios y la corrupción de memoria, que pueden resultar especialmente delicadas si afectan sistemas con acceso a funciones sensibles del vehículo. El análisis no establece que cada problema dé acceso a los frenos o la dirección, pero estos tipos de vulnerabilidad refuerzan la preocupación por las fronteras entre los sistemas de comunicación, entretenimiento y control.

El antecedente más citado en la discusión sobre autos conectados ocurrió en 2015, cuando investigadores aprovecharon el sistema de infoentretenimiento de un Jeep Cherokee para tomar el control de la dirección y los frenos. El caso desencadenó el retiro de 1,4 millones de vehículos, pero no debe confundirse con el estudio actual: aquella demostración fue un incidente separado y los autores no reprodujeron ese tipo de control con las 413 vulnerabilidades examinadas.

Qué pueden hacer conductores y fabricantes

Los investigadores recomiendan a los propietarios instalar las actualizaciones de software tan pronto como los fabricantes las publiquen, además de utilizar contraseñas robustas para las cuentas asociadas al automóvil. También aconsejan prudencia con las aplicaciones móviles conectadas al vehículo y revisar qué datos personales o de ubicación se comparten con los servicios vinculados.

Estas medidas pueden reducir algunos riesgos relacionados con las cuentas y los servicios que utiliza el conductor, pero no permiten detectar fallas ocultas en el software complejo del vehículo. Basu sostuvo que no es razonable esperar que los usuarios encuentren por sí mismos vulnerabilidades técnicas que requieren conocimientos especializados para identificarse y corregirse.

Por esa razón, la autora principal atribuye a los fabricantes la responsabilidad central de integrar la ciberseguridad desde las primeras etapas del diseño, en lugar de tratarla como una revisión final previa al lanzamiento. La recomendación adquiere relevancia ante un ecosistema donde los sistemas de entretenimiento, comunicación y control pueden estar conectados, aunque las consecuencias concretas de una falla dependan de las protecciones que separen esas funciones.

El estudio no afirma que los autos conectados estén siendo controlados masivamente por atacantes ni que cada vulnerabilidad analizada represente una amenaza inmediata para los frenos. Sí documenta que el inventario de debilidades incluye servicios externos y una mayor proporción de fallas críticas, por lo que fabricantes y proveedores enfrentan el reto de proteger una cadena digital que ya forma parte del automóvil.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados