Un automóvil moderno ya no es solamente una máquina que transporta personas. También es una computadora conectada a internet, capaz de recibir actualizaciones, comunicarse con aplicaciones móviles, registrar recorridos y almacenar información de sus conductores. Esa transformación mejoró la experiencia al volante, pero introdujo un problema que todavía está lejos de resolverse.
Cuantas más conexiones tiene un vehículo, más posibilidades existen de que alguien encuentre una puerta de entrada a sus sistemas.
Un grupo de investigadores de la Universidad de Gotemburgo y la Universidad Tecnológica de Chalmers, en Suecia, analizó 413 vulnerabilidades de seguridad reportadas en software relacionado con automóviles. Los resultados revelaron un cambio importante: buena parte de las amenazas ya no se concentra exclusivamente en los componentes electrónicos internos, sino en aplicaciones externas y servicios digitales.
El trabajo, publicado en la revista científica Software Quality Journal, encontró que el 36,2% de las vulnerabilidades estudiadas correspondía a aplicaciones externas. Es decir, más de una de cada tres fallas analizadas estaba vinculada con una categoría de software que se comunica con el ecosistema del automóvil.
El punto más débil de un automóvil podría estar fuera del propio vehículo
Hace una década, buena parte de las investigaciones sobre ciberseguridad automotriz se concentraba en los sistemas integrados del coche: unidades de control electrónico, componentes de comunicación y programas instalados directamente en el vehículo. Pero los automóviles actuales dependen de un ecosistema mucho más amplio.
Las aplicaciones que permiten controlar funciones desde el teléfono, los servicios de navegación, las plataformas de los fabricantes y los sistemas de actualización remota incorporan nuevas conexiones. Y cada una necesita mecanismos de protección para evitar accesos no autorizados. Según el comunicado de la Universidad de Gotemburgo, la proporción de vulnerabilidades detectadas en aplicaciones, sitios web y servicios en la nube prácticamente se triplicó respecto de los estudios de una década atrás.
En el nuevo análisis, las aplicaciones externas concentraron el 36,2% de los fallos. Les siguieron los sistemas basados en chips y software integrado, con un 23,5%, y los componentes telemáticos, con un 14,8%.
La preocupación no se limita a que alguien pueda interferir con determinadas funciones del automóvil. También está relacionada con la privacidad. Algunas aplicaciones conectadas almacenan datos sobre dónde vive una persona, qué rutas utiliza, dónde estaciona y en qué horarios se desplaza. Si esos servicios presentan vulnerabilidades, parte de esa información podría quedar expuesta.
Los investigadores encontraron otros 827 componentes de software vulnerables
El equipo también examinó cómo se desarrolla el software que utilizan los fabricantes de automóviles. Para ello, analizó 20 repositorios de proyectos relacionados con el sector mediante herramientas de detección de vulnerabilidades. El resultado fue la identificación de 827 bibliotecas de software vulnerables.
Estas bibliotecas son componentes reutilizables que permiten incorporar funciones sin tener que programarlas desde cero. Son habituales en toda la industria tecnológica, pero plantean un desafío: cuando una biblioteca presenta un fallo de seguridad, ese problema puede afectar a múltiples proyectos que dependen de ella.
El estudio también encontró que cerca del 45% de las 413 vulnerabilidades analizadas estaba clasificado con un nivel de gravedad alto. Esto no significa que los investigadores hayan demostrado que todos esos problemas permiten tomar el control de un vehículo. El trabajo consistió principalmente en examinar fallos conocidos y clasificarlos, no en realizar ataques prácticos contra 413 automóviles.
El problema crece a medida que los autos se parecen más a los teléfonos
La industria ya conoce las consecuencias que puede tener una vulnerabilidad automotriz. En 2015, investigadores de seguridad demostraron que podían acceder remotamente a determinados sistemas de un Jeep Cherokee y afectar funciones relacionadas con la conducción. El incidente motivó una campaña de actualización de software que alcanzó aproximadamente 1,4 millones de vehículos en Estados Unidos.
Una década después, el desafío es todavía más amplio porque los automóviles incorporan servicios digitales que se actualizan y cambian constantemente.
Los autores del estudio recomiendan que los fabricantes mantengan un inventario detallado de los componentes de software utilizados, examinen las bibliotecas de terceros y desarrollen procesos para detectar y corregir vulnerabilidades durante toda la vida útil del vehículo.
Para los conductores, mantener actualizadas las aplicaciones y el software del automóvil, utilizar contraseñas seguras y proteger las cuentas vinculadas al fabricante son medidas razonables para reducir algunos riesgos.
La conclusión es que la seguridad de un automóvil ya no depende únicamente de lo que ocurre debajo del capó. También está condicionada por el software, los servidores y las aplicaciones que permanecen conectados a él, incluso cuando está estacionado.
