Las aplicaciones y servicios en línea de los vehículos conectados guardan información sensible sobre dónde vives, dónde conduces y cuándo lo haces. Eso crea riesgos de seguridad que van mucho más allá del control del automóvil. Un análisis de cientos de vulnerabilidades reveló que estas debilidades externas se han multiplicado en los últimos años.
Estas fallas se convirtieron en un problema casi tan grave como los defectos en los sistemas internos del auto. Investigadores de la Universidad de Gothenburg y la Universidad Chalmers de Tecnología examinaron 413 fallas de seguridad reportadas entre 2022 y septiembre de 2024.
Los sistemas y aplicaciones externas triplicaron su participación en fallas: de una de cada siete en 2010-2019 a casi dos de cada cinco recientemente.
Los datos privados que exponen las aplicaciones
Los registros de viajes pueden revelar patrones de la vida cotidiana, como dónde vuelves por la noche y cuándo sueles salir. Esos datos merecen protección incluso si nadie logra tomar el control directo del vehículo. En 2024, una fuga de datos de Volkswagen expuso información de 800.000 clientes debido a credenciales de nube desprotegidas de un proveedor externo.
La investigadora posdoctoral Srijita Basu explicó a Earth que estos sistemas almacenan datos sobre dónde se vive, dónde se conduce y cuándo se hace. El riesgo no se limita a que alguien pueda interferir en el automóvil: también podría obtener información sobre la vida de una persona.
Métodos antiguos que siguen funcionando
A pesar de la sofisticación de los vehículos modernos, algunos problemas de software siguen siendo básicos. Entre las vulnerabilidades reportadas, los investigadores identificaron dos ataques web conocidos.
Una vulnerabilidad permite que un atacante engañe a un sitio web para interpretar comandos maliciosos en su base de datos. El ataque, conocido como inyección SQL, permite acceder a información protegida.
Otra vulnerabilidad permite engañar a un sitio web para que ejecute código no deseado en el navegador de otro visitante. Esta práctica se conoce como cross-site scripting, e los especialistas en seguridad web conocen ambos problemas desde hace años.
Basu también señaló que algunas de las vulnerabilidades de estos sistemas son muy básicas. Entre ellas puede haber contraseñas que no se modifican desde la instalación, lo que permite que los hackers usen trucos antiguos y comprobados para acceder a través de una puerta trasera.
El impacto en la seguridad general del vehículo
La diferencia entre las vulnerabilidades internas y externas casi desapareció en el análisis reciente. Los sistemas internos del automóvil todavía representaron ligeramente más fallas, pero la distancia se redujo de forma drástica frente a los datos históricos. Por eso, los conductores dependen cada vez más de terceros para proteger su información personal, aunque no controlen directamente esas medidas de seguridad.
Para los conductores, este cambio significa que la seguridad del auto ya no depende solo de lo que controla el fabricante. La ubicación y los datos personales de los usuarios quedan expuestos si los servicios externos fallan en su protección, como mostró el incidente de Volkswagen, que afectó a 800.000 clientes por falta de cifrado adecuado.
El estudio fue publicado en la revista Software Quality Journal.
Por qué los mismos errores de hace años siguen apareciendo en autos modernos
Los investigadores descubrieron que vulnerabilidades web conocidas desde hace años, como la inyección SQL y el cross-site scripting, siguen afectando a los sistemas de automóviles conectados. Esto no significa que los desarrolladores de software automotriz desconozcan esos riesgos, sino que los errores básicos persisten porque siguen siendo comunes incluso en sistemas modernos.
Algunos sistemas mantienen contraseñas sin cambiar desde su instalación, lo que permite que los hackers usen tácticas antiguas y comprobadas para acceder. El patrón sugiere que, pese a la sofisticación tecnológica de los vehículos, la seguridad de las aplicaciones externas no siempre se implementa según los estándares que la industria del software web conoce desde hace años.
¿Qué puedo hacer como conductor para proteger los datos que mi auto conectado expone?
Las fuentes disponibles documentan los riesgos y la forma en que ocurren las filtraciones, pero no indican acciones específicas que los conductores puedan tomar para protegerse. Sí señalan que su seguridad depende en parte de terceros que están fuera de su control directo. Por eso, la responsabilidad no recae únicamente en los conductores.
Los fabricantes deben garantizar que las empresas externas que manejan sus datos adopten protecciones adecuadas, como no ocurrió en el caso de Volkswagen, en el que un proveedor dejó desprotegidas las credenciales de la nube.
La recomendación implícita es conocer qué aplicaciones y servicios se conectan al vehículo, aunque la protección efectiva depende de que las empresas implementen correctamente la seguridad desde el principio.
