Estamos acostumbrados a definir los coches por su función principal: llevarnos de un sitio a otro. Sin embargo, la naturaleza misma del automóvil está cambiando cada vez más, lo que obliga a las empresas automovilísticas y a los proveedores de la industria a adaptarse. Un vehículo nuevo que sale hoy de la cadena de montaje tiene más líneas de código que un avión de pasajeros moderno. Incluye complejos sistemas de infoentretenimiento, telemática e infraestructura, todos los cuales deben trabajar juntos en perfecta armonía y sincronización para mantener al conductor conectado, informado y seguro.
Los vehículos conectados de hoy no sólo ofrecen transporte, sino también servicios de información avanzados y muy personalizados. Pueden informarnos del tiempo, leer nuestro correo electrónico, llamar por teléfono o ayudarnos a encontrar el camino más rápido para evitar un atasco. A medida que se afianzan las tecnologías de conducción autónoma, también asumen cada vez más muchas de las tareas que tradicionalmente realizaba un conductor humano. Para hacer todo esto, el vehículo moderno requiere una conexión constante a la nube y acceso a algunos de nuestros datos personales más sensibles.
Según KPMG, "un coche nuevo medio tiene más de 150 millones de líneas de código, más que un caza F-35 o un Boeing 787".
Y el informe Upstream Global Automotive Cybersecurity Report 2021 afirma que los vehículos conectados supondrán casi el 86% del mercado automovilístico mundial en 2025.
La tendencia a que los coches sean cada vez más capaces, estén más conectados y utilicen más datos no hará sino ganar impulso en el futuro. Esto significa que los fabricantes de automóviles deben encontrar la manera de proteger los sistemas integrados que controlan todos los aspectos del vehículo y determinan la calidad, privacidad y seguridad de la experiencia del conductor.
Una crisis emergente en la ciberseguridad del automóvil
Como consecuencia del rápido auge del vehículo conectado, el sector se enfrenta a una crisis de protección de datos y ciberseguridad. Para que sus vehículos sigan siendo competitivos en el mercado, cumplan las normativas y sean seguros para conductores y pasajeros, los fabricantes de automóviles necesitan un nuevo enfoque. Deben priorizar y ejecutar estrategias de seguridad que protejan su negocio, su reputación y a sus clientes.
La amenaza es real y va en aumento. En un exploit muy publicitado en 2015, investigadores de seguridad tomaron el control remoto completo de un Jeep Cherokee, incluso apagando el motor. Hoy en día, es menos probable que los hackeos provengan de hackers de sombrero blanco (académicos e investigadores que prueban sistemas de seguridad) que de atacantes de sombrero negro.
Asaf Ashkenazi, Presidente y Director de Operaciones de Verimatrix, citado en AutoEvolution, afirma: "Para atacar un coche, un hacker necesita una vía de acceso al sistema del vehículo. "Hace quince años, esto significaba sobre todo acceder a las interfaces físicas del coche, como la interfaz OBD. Hoy en día, hay más puntos de entrada remotos, incluidas las interfaces inalámbricas, que aumentan drásticamente la superficie de ataque del coche. Esta superficie de ataque también incluye dispositivos periféricos como los smartphones Android y Apple."
Solo en 2020, entre las empresas atacadas con exploits de "toma de control" públicos y exitosos -en los que el hacker pudo hacerse con el control del vehículo- se encontraban Honda, Mercedes-Benz y Tesla, entre otras. Ese mismo año, solo en la India se produjeron 4.118 robos de vehículos mediante simuladores de llavero, un método de robo de vehículos cada vez más popular en todo el mundo.
Asaf continúa: "La mayoría de los fabricantes de automóviles reconocen que la ciberseguridad debe tomarse en serio. Por desgracia, esto no siempre se traduce en acciones directas o en la dirección correcta. Los fabricantes de automóviles no siempre son conscientes de todos los riesgos y no abordan necesariamente las vulnerabilidades de seguridad en función del nivel de riesgo."
Según Danny Le, Director de KPMG, "Con la capacidad de los ladrones para ciberatacar muchos coches a la vez, 'ataca uno, roba muchos' es la mejor caracterización de la amenaza actual de los grandes robos de coches".
Vea cómo ayudamos a proteger la industria del automóvil
En cierto modo, aún estamos en la fase inicial del peligro. La amenaza inminente de hackeos a gran escala, en los que grandes grupos de vehículos o flotas enteras son controlados, es una gran preocupación para las empresas automovilísticas, los grupos de seguridad de los consumidores y los gobiernos. Un terrorista o un operador de ransomware podría poner en marcha y convertir en armas todo un convoy o varios coches, por ejemplo, desactivando los sistemas de control de la batería que impiden que los materiales explosivos se sobrecalienten.
Los sistemas remotos sin llave (RKS) -también conocidos como Keyless Entry o Remote Central Looking- también están en peligro en la mayoría de los vehículos conectados modernos. El RKS funciona enviando un código transmitido por radio de corto alcance desde la llave al coche. Al recibir el código, el coche sabe que está autorizado a desbloquear las puertas o arrancar el motor.
Con un RKS físico, una amenaza común es un ataque de repetición.
Un ataque de repetición consiste en que el atacante escucha la transmisión de radio y captura los datos enviados por la llave al coche. A continuación, puede desbloquear el vehículo "reproduciendo" el mismo código que ha capturado.
La vulnerabilidad de los sistemas de infoentretenimiento a bordo de los vehículos (IVI) también deja a los fabricantes de automóviles expuestos a ataques; es posible que se produzcan filtraciones de datos, multas por incumplimiento y costosas retiradas del mercado. Las empresas con visión de futuro que prestan servicios a la cadena de suministro de la automoción reducen los riesgos y las vulnerabilidades con una protección por capas que hace que sus aplicaciones, APIS y dispositivos sean autodefensivos, protegiendo su código de cualquier daño.
Vectores de ataque más comunes en los automóviles
- Servidores
- Aplicaciones móviles
- APIs
- Acceso sin llave
- Puerto OBO
- Infoentretenimiento
- Red informática
- Sensores
- Red a bordo
- WI-FI
Repensar la seguridad del vehículo moderno actual
La enorme gama, variedad y complejidad de los sistemas que intervienen en los vehículos conectados actuales exigen un enfoque fundamentalmente nuevo de la seguridad. La seguridad no puede ser una ocurrencia tardía; debe incorporarse desde el principio de la fase de diseño. También debe ser holística y adaptable por naturaleza, capaz de hacer frente a una amplia gama de amenazas y de responder a requisitos cambiantes. Debe ser sencillo e intuitivo, tanto para los desarrolladores que deben integrarlo en el software de control como para los clientes finales que interactuarán con el vehículo. Por último, debe ser resistente a lo largo del tiempo, ofreciendo una protección "a prueba de futuro" que perdure durante toda la vida útil del vehículo.
La prioridad de los fabricantes y proveedores de automóviles debe ser identificar y proteger todos los posibles puntos vulnerables con una seguridad inteligente, flexible y resistente. También deben reconocer que el automóvil es varias cosas a la vez: un vehículo, una plataforma para el entretenimiento conectado, un dispositivo de información y un centro para cantidades masivas de datos, tanto entrantes como salientes. Todos los aspectos deben estar protegidos, incluidos los datos sensibles y de alto valor que fluyen hacia y desde la nube.
Incluso las interfaces aparentemente menos críticas exigen protección. Por ejemplo, un exploit dirigido a aplicaciones de infoentretenimiento a bordo puede parecer menos peligroso que un ataque a un sistema telemático, hasta que se considera que muchos fabricantes de automóviles han permitido que las aplicaciones controlen o apoyen la experiencia de conducción. De repente, ese exploit a nivel de aplicación puede convertirse en una puerta trasera que comprometa la seguridad del conductor. Incluso sistemas como Wi-Fi o Bluetooth pueden convertirse en objetivos de los atacantes.
Seguridad en los coches conectados
Verimatrix ofrece soluciones de seguridad robustas, automatizadas e inteligentes para mantener seguros los coches conectados. Nuestras soluciones para el coche conectado incluyen:
- Protección de los sistemas de acceso sin llave
- Protección de los sistemas de infoentretenimiento a bordo de los vehículos
- Aplicaciones móviles blindadas para fabricantes de automóviles y proveedores
- Prevención de ataques a puntos finales con defensa ampliada frente a amenazas
Verimatrix proporciona soluciones de seguridad SaaS probadas para proteger la tecnología que impulsa los coches conectados. Las principales marcas de automoción confían en Verimatrix para salvaguardar sus datos, su código, el contenido y sus clientes. Póngase en contacto con su amable consultor de defensa contra amenazas de Verimatrix para una evaluación gratuita de la seguridad en automoción.
3 Imperativos de seguridad para los fabricantes de aplicaciones para vehículos en 2024