Cesvimap y Dekra, en colaboración con Automotive Security Research Group (ASRG), han organizado en la Universidad de Málaga un evento de car hacking. Durante la jornada diversos expertos en ciberseguridad del automóvil han demostrado la importancia de integrar la ciberseguridad en el diseño de los vehículos modernos.

La ciberseguridad en el sector de la automoción se ha convertido en una necesidad en los últimos años, especialmente debido al impacto de la tecnología y la digitalización de la industria. Si un coche no cumple con los mínimos criterios de ciberseguridad, puede enfrentarse a múltiples amenazas que no solo afecten a funciones críticas, como los frenos o el sistema de dirección, sino también provocar la filtración de información personal del individuo, repercutiendo esto en el rendimiento del coche y su sistema de seguridad.

Por ello, Cesvimap y Dekra han organizado este evento con demostraciones de técnicas reales de hackeo aplicadas a un vehículo proporcionado por Cesvimap. Así, expertos en ciberseguridad y asistentes han comprobado de primera mano cómo es posible acceder a los sistemas de los automóviles modernos con los conocimientos y herramientas adecuados, poniendo en práctica sus habilidades a la hora de buscar vulnerabilidades en vehículos.

A través de este tipo de iniciativas se busca visibilizar los retos y desafíos a los que se enfrenta la industria de la automoción. Para Dekra, es fundamental crear conciencia sobre la ciberseguridad en la movilidad del futuro y, por ello, es de vital importancia conocer las vulnerabilidades de los vehículos actuales y cómo actúan los ciberatacantes para poder defendernos de estas amenazas. 

Enrique Zapico, director del Mobility Lab de Cesvimap, insistió ante la audiencia en que la ciberseguridad en los vehículos “es un aspecto crítico en la actualidad, dado el incremento de la conectividad y la integración de sistemas avanzados en los vehículos. Múltiples tecnologías de comunicación -bluetooth, Wi-Fi y otros sistemas de infoentretenimiento- los hacen más vulnerables a diversos tipos de ciberataques (a través del sistema de acceso sin llave, de los servidores que gestionan los datos y las comunicaciones del vehículo, o directamente a la unidad de control del motor, ECU…”.

Durante el evento, ha quedado demostrado que es posible comprometer la seguridad de los vehículos a través de múltiples superficies de ataque. Comenzando por las interfaces inalámbricas abiertas, se han realizado ataques al Key Fob utilizando técnicas de Replay Attack, lo que ha permitido abrir las puertas y el maletero del vehículo mediante un SDR. A través del bluetooth se han realizado inyecciones de keystroke no autenticadas en el sistema de infoentretenimiento, desactivando sistemas críticos, como los sistemas avanzados de ayuda a la conducción (ADAS, por sus siglas en inglés).

En un segundo nivel, se han analizado las interfaces cableadas abiertas (OBD, USB, sdcard, etc), accediendo a sistemas de depuración como ADB para ejecutar shells, establecer persistencia y escalar privilegios. También se han llevado a cabo tareas de Ingeniería Inversa sobre aplicaciones propietarias del sistema de infoentretenimiento.

Finalmente, en las interfaces cableadas cerradas, se han analizado las ECUs y los diferentes buses internos del vehículo, como Body Network, Chassis Network y Powertrain Network. Mediante los manuales de servicio y un multímetro se han identificado líneas CAN accesibles desde el exterior del vehículo y se han realizado algunas intrusiones.

Estas actividades resaltan la necesidad de reforzar la seguridad en todas las capas de un vehículo conectado, tanto en sus interfaces físicas como en las inalámbricas, para mitigar posibles riesgos de ciberataques. Por ello, los expertos en ciberseguridad destacan la importancia de integrar las pruebas de penetración dentro del ciclo de desarrollo de los vehículos, ofreciendo una formación sólida sobre la protección de sistemas vehiculares contra ciberataques, y por parte de los fabricantes, implementar actualizaciones periódicas de software, y mecanismos de cifrado en las comunicaciones del vehículo. Estas medidas son fundamentales para proteger la información sensible frente a accesos no autorizados.