Por Canuto  

Una investigación de seguridad encontró rutas para eludir defensas web y abusar de credenciales en los sistemas de identidad de dos fabricantes. Según los investigadores, las fallas les permitieron acceder a cuentas y enviar órdenes remotas a vehículos en Australia y Estados Unidos, incluidos comandos para desbloquear puertas, encender luces y hacer sonar las bocinas.

***

  • La investigación reportó fallas en aplicaciones Android y en sistemas ForgeRock OpenIDM de dos fabricantes que no fueron identificados.
  • Las cadenas de ataque combinaron fallas de recorrido de rutas, credenciales codificadas o predeterminadas y acceso a herramientas administrativas.
  • Los investigadores informaron los problemas a principios de 2026 y afirmaron que los fabricantes aplicaron parches en menos de dos horas.

 

 

Investigadores de seguridad encontraron vulnerabilidades en aplicaciones Android y sistemas de identidad de dos fabricantes de automóviles.

Según su investigación, pudieron enviar órdenes remotas a vehículos en Australia y Estados Unidos, entre ellas desbloquear puertas, arrancar motores, hacer parpadear las luces y activar las bocinas.

Dos rutas distintas hacia las funciones del vehículo

El trabajo estuvo a cargo de Shubham Shah, cofundador de Assetnote, y del investigador Sam Curry. Ambos desarrollaron las cadenas de explotación a principios de 2026, según la información de su investigación. Los dos casos involucraron ForgeRock OpenIDM, una plataforma de identidad, aunque los pasos técnicos variaron de acuerdo con la configuración de cada entorno.

En el caso australiano, los investigadores partieron de un número de identificación vehicular, conocido como VIN, que encontraron mediante verificadores públicos de matrículas. Según su relato, usaron esos identificadores en consultas a API internas que devolvieron información personal y direcciones de correo electrónico de propietarios. Esos datos sirvieron como punto de partida para acceder a cuentas.

La investigación también encontró credenciales de administrador codificadas en la aplicación para ForgeRock OpenIDM. Aunque estaban destinadas al entorno de pruebas, los investigadores afirmaron que también funcionaban en producción, lo que les permitió acceder a sistemas activos.

Para llegar a las interfaces internas de administración, Shah y Curry eludieron el filtrado del firewall de aplicaciones web (WAF) mediante fallas de recorrido de rutas. Una vez dentro, pudieron controlar cuentas objetivo utilizando sus direcciones de correo electrónico y generar tokens de autenticación que habilitaban el envío de órdenes a los vehículos asociados.

El acceso en Estados Unidos exigió más pasos

La cadena estadounidense también requirió superar el filtrado del WAF mediante una técnica de recorrido de rutas, pero los investigadores describieron un procedimiento más elaborado. Aprovecharon una confusión en el manejo de rutas para alcanzar la consola de administración Apache Felix, vinculada con el entorno OSGi que ejecutaba servicios del sistema de identidad.

En esa consola, las credenciales predeterminadas de la consola web de Felix les dieron privilegios de administrador, según los investigadores. Luego usaron el gestor de configuración de Felix para programar una tarea que ejecutaba un script Groovy en línea y, con ello, obtener acceso de shell a los servidores de identidad.

Desde esos servidores, consultaron endpoints locales de la API de administración, que podían mostrar o modificar datos de cuentas de usuario. Los investigadores dijeron que así pudieron iniciar sesión en cuentas de propietarios y enviar a los coches comandos remotos similares a los habilitados en el caso australiano.

La investigación describe rutas diferentes para llegar a las cuentas, en función de la configuración de cada entorno. En ambos casos, los investigadores encadenaron debilidades de varias capas, desde el filtrado de solicitudes hasta los controles de acceso y los permisos administrativos.

Divulgación, respuesta y fabricantes sin identificar

Según la cronología de divulgación publicada por Curry, él y Shah contactaron a los fabricantes afectados a principios de 2026. Los investigadores afirmaron que las vulnerabilidades quedaron corregidas dentro de las dos horas posteriores a la recepción de sus reportes. No identificaron a las empresas ni detallaron el alcance técnico de los parches.

Los investigadores mantuvieron en reserva los nombres de los fabricantes. Aficionados al motor especularon que el vehículo parcialmente difuminado en un video de demostración de Shah era un Toyota, basándose en la forma del retrovisor y el sonido del desbloqueo; algunos observadores extendieron la conjetura a Lexus. La investigación no confirmó esas identificaciones.

Según el relato de Curry, un portavoz de Toyota Motor Corporation no confirmó ni negó las conjeturas. Curry explicó que él y Shah respetaron la petición de anonimato para no desviar recursos de los equipos de seguridad mientras corregían los problemas.

Los investigadores no afirmaron que terceros hubieran utilizado las fallas para atacar vehículos ni presentaron evidencia de incidentes contra propietarios. Su demostración mostró que, al combinar información de cuentas con debilidades en interfaces de administración y credenciales expuestas o predeterminadas, pudieron alcanzar funciones de control remoto disponibles a través de las aplicaciones.

Qué revela el caso sobre los autos conectados

Las aplicaciones de vehículos conectados enlazan cuentas digitales con funciones físicas, por lo que la protección no depende solamente del software instalado en el automóvil. También importan la autenticación de usuarios, la seguridad de las API, la separación entre entornos de pruebas y producción, y el control de las herramientas administrativas.

En el episodio australiano, los investigadores dijeron que una dirección de correo bastó para tomar control de una cuenta después de acceder a la administración interna. En Estados Unidos, el camino pasó por la consola Felix y el acceso de shell a servidores de identidad. Los casos muestran cómo la seguridad de una función remota puede depender de varias barreras sucesivas.

El uso de credenciales predeterminadas o codificadas puede abrir puertas administrativas en sistemas que no están destinados al acceso público. Si además un WAF no bloquea solicitudes manipuladas y las API internas exponen datos de cuentas, varias debilidades pueden combinarse en una ruta de explotación más amplia.

La investigación no permite concluir que todos los vehículos conectados sean vulnerables ni que los fabricantes implicados sufran una exposición generalizada. Sí pone de relieve la importancia de revisar configuraciones, credenciales, límites entre entornos y mecanismos de autenticación cuando los servicios digitales están enlazados con controles físicos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados