Una vez que los piratas informáticos acceden a tu automóvil conectado a internet, podrían desactivar los airbags, los frenos y los cierres de las puertas, e incluso robar el vehículo. Esa es la conclusión de los investigadores que descubrieron recientemente un fallo en la forma en que se comunican entre sí los distintos componentes de un automóvil conectado. Su trabajo se suma a varias demostraciones de investigadores que piratearon automóviles a distancia y tomaron el control de ellos, incluida una que dio lugar a una retirada mundial del mercado de un modelo conectado de Jeep.
Hasta ahora, ninguno de estos ataques se ha demostrado en vehículos corrientes que circulan por carretera. Pero muestran cómo la ciberseguridad se está convirtiendo en un gran desafío para la industria automotriz, especialmente a medida que los vehículos incorporan cada vez más tecnología de conducción autónoma. La situación ha preocupado tanto al Gobierno del Reino Unido que ha llegado a publicar una serie de directrices para el sector. Estas subrayan la necesidad de que las empresas trabajen juntas para construir vehículos resilientes cuya seguridad pueda gestionarse durante toda su vida útil. Pero ¿qué se puede hacer realmente para garantizar que, a medida que los automóviles se convierten en efecto en ordenadores sobre ruedas, estén protegidos de los piratas informáticos?
Hay tres razones principales por las que los automóviles se están volviendo vulnerables a los ciberataques, y estas tendencias también han dificultado el diseño y las pruebas de seguridad. En primer lugar, los distintos sistemas que componen un automóvil se diseñan cada vez más para funcionar juntos y mejorar su eficiencia, por lo que todos deben poder comunicarse y estar conectados a un control central. La incorporación de sistemas autónomos que permiten que los automóviles conduzcan de forma parcialmente o totalmente autónoma también obliga a los vehículos a conectarse con otros automóviles y con la infraestructura vial.
Pero esto expone un sistema que tradicionalmente era cerrado a influencias externas potencialmente maliciosas. Por ejemplo, hemos visto demostraciones de ataques que aprovechan el Bluetooth, la Wi-Fi y la radiofrecuencia (RF) de los automóviles en sistemas de acceso pasivo sin llave, todos ellos posibles puntos de entrada para los piratas informáticos.
En segundo lugar, cuantas más prestaciones y funciones tienen los automóviles, más software y complejidad requieren. Un solo vehículo puede utilizar hoy millones de líneas de código, combinadas de distintas maneras en componentes de diferentes fabricantes. Esto dificulta que quienes prueban la seguridad sepan dónde buscar y que los auditores comprueben si un automóvil cumple las normas. Si el software que Volkswagen utilizó recientemente para eludir los límites de emisiones hubiera sido un virus malicioso, podrían haber transcurrido meses o años antes de encontrar el problema.
Por último, el volumen y la variedad de los datos y contenidos almacenados y utilizados en un vehículo no dejan de aumentar. Por ejemplo, el sistema GPS multimedia de un automóvil podría contener direcciones de contactos, información sobre las rutas habituales del conductor y, en el futuro, incluso datos financieros. Un cúmulo de información así resultaría muy atractivo para los ciberdelincuentes.
Una de las mejores maneras de proteger los automóviles conectados frente a esta amenaza creciente es incorporar la seguridad al diseño de los vehículos. Esto significa, por ejemplo, asegurarse de que no haya conflictos, errores ni configuraciones incorrectas en los componentes individuales. Los automóviles completamente ensamblados deberían someterse a pruebas más rigurosas para garantizar que el producto final resista los ataques informáticos, mediante métodos como las pruebas de penetración, en las que se atacan deliberadamente los sistemas para descubrir sus fallos. Esto, a su vez, requeriría mejores herramientas y normas que obligaran a todos los integrantes de la industria a tener en cuenta la seguridad desde el principio.
Es probable que el próximo gran desafío consista en diseñar vehículos que armonicen la seguridad informática con la seguridad vial. A medida que la tecnología de conducción autónoma evolucione para utilizar más inteligencia artificial y técnicas de aprendizaje profundo, dependeremos de aún más software para controlar nuestros automóviles y tomar decisiones de seguridad como lo harían los conductores humanos. Esto hará todavía más importante proteger los automóviles para que también salvaguarden la seguridad de quienes los conducen.
Respuesta de la industria
La industria está respondiendo lenta pero constantemente a la creciente amenaza de los ciberataques. Además de las regulaciones gubernamentales, la Sociedad de Ingenieros de Automoción de Estados Unidos (SAE), ha introducido su propio conjunto de directrices que muestran cómo se puede tratar la ciberseguridad como otras amenazas a la seguridad al diseñar un automóvil. También se está trabajando para que los conductores puedan proteger mejor sus vehículos, por ejemplo, advirtiéndoles en los manuales del automóvil que no conecten dispositivos desconocidos.
A largo plazo, el mayor desafío será simplemente lograr que la industria automotriz coordine mejor sus esfuerzos. El sector es muy competitivo en todos los niveles, y las empresas dependen de las tecnologías conectadas y autónomas más recientes para diferenciarse y captar nuevos clientes.
Esta rivalidad hace que las empresas sean reacias a compartir información sobre ciberamenazas y vulnerabilidades o a colaborar para desarrollar diseños más seguros. Para que los automóviles sean realmente seguros, tendremos que ver cómo la industria cambia de marcha.
