Los coches modernos ya no son máquinas que permanecen igual después de salir del concesionario. Cada vez más, se están convirtiendo en vehículos definidos por software que reciben nuevas funciones, correcciones de errores y parches de seguridad de forma inalámbrica, al igual que los smartphones. Pero aunque las actualizaciones por aire (OTA) han facilitado y abaratado el mantenimiento de vehículos, los expertos en ciberseguridad advierten que la misma tecnología también podría convertirse en uno de los mayores retos de seguridad de la industria automovilística.
Investigadores y responsables políticos ahora piden una supervisión más estricta a medida que los vehículos conectados dependen cada vez más de actualizaciones remotas de software. Su preocupación no es solo que los hackers roben datos personales. Se trata de alguien que podría interferir con el funcionamiento de un vehículo en movimiento.
La comodidad de las actualizaciones inalámbricas conlleva nuevos riesgos
La tecnología OTA permite a los fabricantes entregar actualizaciones de software, actualizaciones de firmware y parches de seguridad de forma remota sin necesidad de que los propietarios acudan a un concesionario. Tesla popularizó el concepto hace más de una década cuando comenzó a lanzar actualizaciones inalámbricas para el Model S en 2012. Hoy en día, esta característica se ha vuelto habitual tanto en vehículos premium como en vehículos convencionales.
Para los consumidores, las ventajas son evidentes. Los fabricantes pueden corregir rápidamente fallos de software, mejorar la gestión de la batería, añadir nuevas funciones de infoentretenimiento o incluso mejorar el rendimiento de conducción sin necesidad de costosas llamadas a revisión. Según un informe de CNBC que cita a Siraj Ahmed Shaikh, profesor de Seguridad de Sistemas en la Universidad de Swansea, las actualizaciones OTA se han convertido en una alternativa atractiva al mantenimiento tradicional porque reducen costes y acortan los tiempos de despliegue. En lugar de esperar al mantenimiento programado, los fabricantes pueden solucionar los problemas casi al instante.
Sin embargo, la misma arquitectura siempre conectada que permite estas actualizaciones también crea una superficie de ataque mayor. Los analistas de ciberseguridad argumentan que los vehículos conectados a internet funcionan efectivamente como ordenadores móviles. Si los atacantes comprometieran la infraestructura de actualización o obtuvieran acceso privilegiado al software del vehículo, las consecuencias podrían ir mucho más allá del robo de datos.
Gabriel Lim, analista senior de la S. Rajaratnam School of International Studies de Singapur, declaró a CNBC que el asunto representa una posible preocupación de seguridad nacional. Más allá de las cuestiones relacionadas con la privacidad de los usuarios, los gobiernos examinan cada vez más si fabricantes extranjeros o actores hostiles podrían interferir teóricamente en los sistemas de los vehículos de forma remota. Estas preocupaciones han llevado a varios países a reevaluar cómo deberían regularse los vehículos conectados.
Los gobiernos están empezando a tomarse en serio la amenaza
El debate se intensificó después de que el operador noruego de transporte público Ruter realizara pruebas de seguridad en autobuses eléctricos el año pasado. La empresa informó que el sistema de gestión de baterías y energía de uno de los vehículos podía accederse remotamente a través de una red móvil. En teoría, concluyó que el fabricante podría desactivar o inmovilizar el bus de forma remota.
Aunque la investigación se centró en autobuses fabricados por la empresa china Yutong, los expertos advierten que el problema no es exclusivo de ningún fabricante o país en particular. En cambio, lo ven como un desafío a nivel de toda la industria vinculado a la creciente adopción de plataformas de vehículos conectados. Los hallazgos llevaron a las autoridades tanto del Reino Unido como de Dinamarca a iniciar sus propias investigaciones, con el Departamento de Transporte del Reino Unido trabajando junto con el Centro Nacional de Ciberseguridad para examinar posibles vulnerabilidades.
Preocupaciones similares también están empezando a influir en los debates políticos en Estados Unidos. A principios de este año, el American Enterprise Institute argumentó que proteger los vehículos conectados del espionaje extranjero debería convertirse en una prioridad estratégica. El think tank recomendó revisiones de seguridad más estrictas, mayor transparencia en la recogida de datos de vehículos y restricciones más estrictas sobre ciertos software y hardware automovilísticos fabricados en el extranjero.
Las implicaciones van mucho más allá de los coches de pasajeros. La tecnología OTA está llegando cada vez más a autobuses, flotas comerciales, sistemas ferroviarios, barcos, robots industriales y drones. A medida que más infraestructuras críticas se vuelven actualizables remotamente, los expertos afirman que la ciberseguridad ya no puede considerarse una ocurrencia secundaria. Las actualizaciones inalámbricas sin duda están haciendo que los vehículos sean más inteligentes y capaces. Pero también están cambiando la definición de seguridad automovilística. En la era de los definidos por software, proteger un coche significa cada vez más proteger el código que se ejecuta en él, porque el próximo ciberataque puede no tener como objetivo tu portátil o smartphone. Podría apuntar al vehículo que conduces.
