Un especialista en Australia controló funciones de una pick-up china con acceso físico y un servicio de alquiler en Noruega utilizó vehículos que grabaron instalaciones militares. Ningún caso probó espionaje, pero ambos evidenciaron vulnerabilidades en vehículos conectados.
Dos casos difundidos con menos de un mes de diferencia expusieron riesgos asociados a los vehículos conectados. El primero ocurrió en Australia, donde un especialista en ciberseguridad accedió a funciones de una pick-up híbrida enchufable de una marca china. El segundo se registró en Noruega, donde vehículos alquilados por el Ejército grabaron instalaciones militares. Ninguno de los dos hechos probó espionaje, según las autoridades y medios que los difundieron.
Australia: acceso físico y falla de software
El 21 de septiembre, el programa Four Corners de la cadena ABC emitió el informe «Asleep at the Wheel». Para el mismo, el canal proporcionó una pick-up híbrida enchufable de una marca china a Dan Hreszczuk, cofundador de Fortify Labs en Canberra y especialista en ciberseguridad automotriz. Hreszczuk tuvo el vehículo durante dos semanas con el objetivo de determinar qué podía ver y hacer el fabricante a distancia.
«Fue más fácil de lo que esperábamos», declaró Hreszczuk. Añadió que el acceso que aprovechó «ni siquiera tenía contraseña».
Durante la demostración, con el periodista conduciendo a 30 km/h por un camino rural, Hreszczuk trabó las puertas, reprodujo música a alto volumen, mostró imágenes en la pantalla, activó los limpiaparabrisas a máxima velocidad, roció agua en el parabrisas y encendió y apagó las luces. Al final, apagó las luces por completo. Según el especialista, no pudo acceder a los frenos ni a las cámaras porque estaban protegidos.
Hreszczuk también grabó al periodista diciendo «Hey Siri», editó el audio y lo reprodujo por los parlantes del auto mientras el teléfono celular permanecía desbloqueado en el interior. Siri proporcionó el domicilio, la fecha de nacimiento, contactos y, en minutos, la contraseña del home banking. De acuerdo con CarExpert, también era posible seguir la ubicación del vehículo y acceder a las llamadas realizadas desde el auto.
Four Corners aclaró ante el Ombudsman de la ABC, que recibió 50 quejas por el informe, que solicitó al investigador simular el acceso remoto que tiene un fabricante. Para ello se requirió acceso físico para instalar software y una conexión al CAN bus, la red interna de comunicación del vehículo. Según Drive, se utilizó una placa con software especializado conectada al cableado. El Ombudsman concluyó que el programa no engañó a la audiencia porque la edición dejaba claro que hubo intervención física.
El fabricante respondió el 1 de octubre. Reconoció un defecto de software en el sistema de infoentretenimiento que permitía habilitar el ADB (Android Debug Bridge), desactivado por defecto, e instalar una aplicación de terceros no confiable. Según la marca, esa aplicación debía solicitar permiso en pantalla para acceder a la ubicación o al micrófono. Respecto de las luces y los limpiaparabrisas, sostuvo que fue necesario intervenir el cableado y que eso afectó solo al auto manipulado.
La empresa anunció la corrección del ADB mediante una futura actualización OTA, evalúa si otros modelos vendidos en Australia requieren la misma corrección y abrió una evaluación de riesgo sobre la autenticación de los mensajes del CAN bus.
Australia no cuenta con estándares mínimos de ciberseguridad para automóviles. Ninguna norma obligaba al fabricante a mantener su software actualizado ni a disponer de un sistema de gestión de riesgos.
Noruega: grabaciones automáticas en instalaciones militares
A mediados de octubre, diversos medios informaron que el Ejército noruego contrató a la filial local de Hertz un servicio de alquiler de vehículos por más de US$ 30 millones para trasladar personal en ejercicios con militares en actividad y reservistas. Entre los modelos utilizados había autos de una marca china con sistemas de registro visual.
El analista Andrei Serbin Pont declaró en Infobae al Mediodía: «Grababan dentro de las instalaciones militares, grababan cómo eran los ingresos a las instalaciones militares, grababan los momentos en los que ellos introducían sus claves alfanuméricas para hacer el ingreso».
Las grabaciones no provinieron de dispositivos ocultos, sino de funciones de serie: cámaras de estacionamiento, visión 360°, dashcams y, en algunos modelos, cámaras del habitáculo.
Serbin Pont señaló que Noruega no había avanzado con una prohibición general, mientras que Polonia e Israel restringieron el ingreso de estos vehículos a instalaciones de defensa.
Los medios que difundieron el caso no afirmaron que las imágenes hayan sido enviadas a un gobierno. Queda por determinar qué datos recopila cada sistema, dónde se almacenan y quién accede a ellos.
Riesgos identificados
Los dos casos muestran riesgos diferentes. El de Australia evidencia qué ocurre cuando un tercero accede al sistema. El de Noruega muestra qué sucede cuando el vehículo recopila datos por sí solo.
Entre los escenarios posibles, los especialistas mencionan:
- Un auto de flota o de alquiler, que pasa por muchas manos, termina con software que nadie controló.
- Las imágenes de un estacionamiento corporativo o de una planta muestran horarios, patentes, rutinas y códigos de acceso.
- El auto funciona como puente hacia el celular del conductor, y por ahí salen su agenda, su domicilio y sus contraseñas.
- Se juntan datos que parecen triviales hasta que alguien los combina.
En 2018, el mapa de actividad de Strava expuso instalaciones militares por los recorridos de soldados que salían a correr. Fue un reloj, no un auto.
Normativa y respuesta de las marcas
Los reglamentos UN R155 y R156 de la UNECE exigen a los fabricantes un sistema de gestión de ciberseguridad y otro de gestión de actualizaciones de software. La Unión Europea los requiere para homologar vehículos nuevos. El fabricante de la pick-up citó el R155 en su respuesta.
Cuando un mercado no exige nada, como Australia, el nivel de protección queda a criterio de cada fabricante.
La reacción del fabricante en Australia incluyó un análisis forense, el reconocimiento del defecto, el compromiso de una corrección por OTA y la apertura de la discusión sobre el CAN bus. También se señaló que el ADB se podía habilitar desde la interfaz del usuario y que el acceso no tenía contraseña, y que la respuesta llegó después de la emisión televisiva.
Contexto argentino
En Argentina, los autos electrificados y conectados, de todos los orígenes, crecen mes a mes. La discusión sobre qué datos recopila cada vehículo y quién responde ante fallas involucra a todas las marcas por igual.
Noruega detectó y preguntó. Australia demostró y obligó a una marca a corregir. La pregunta que queda planteada es qué graba y qué deja abierto cada auto que hoy está estacionado.