Cesvimap y Dekra abordan la importancia de integrar la ciberseguridad en el sector de la automoción

La ciberseguridad en el sector de la automoción se ha convertido en una necesidad en los últimos años, especialmente debido al impacto de la tecnología y la digitalización de la industria. Si un coche no cumple con los mínimos criterios de ciberseguridad, puede enfrentarse a múltiples amenazas que no solo afecten a funciones críticas, como los frenos o el sistema de dirección, sino también provocar la filtración de información personal del individuo, repercutiendo esto en el rendimiento del coche y su sistema de seguridad.

Por ello, Cesvimap, el laboratorio de innovación de Mapfre, y el Centro de Pruebas y Certificación Dekra, en colaboración con Automotive Security Research Group (ASRG), han organizado una jornada con expertos en ciberseguridad del automóvil en la que se ha abundado en la importancia de integrar la ciberseguridad en el diseño de los vehículos modernos.

La sesión ha incluido demostraciones de técnicas reales de hacking aplicadas a un vehículo proporcionado por Cesvimap. En el hackathon, realizado en la Universidad de Málaga, expertos en ciberseguridad y asistentes han comprobado de primera mano cómo es posible acceder a los sistemas de los automóviles modernos con los conocimientos y herramientas adecuados, poniendo en práctica sus habilidades a la hora de buscar vulnerabilidades en vehículos. 

Rubén Lirio, director de Ciberseguridad en Dekra, destacó durante la jornada que la ciberseguridad en la automoción "no es una opción, sino una necesidad" y subrayó la importancia de "fomentar el desarrollo de conocimientos técnicos esenciales entre los profesionales para anticipar y contrarrestar posibles amenazas".

En este sentido, consideró esencial conocer las vulnerabilidades de los vehículos actuales y cómo actúan los ciberatacantes para poder defenderse de estas amenazas. 

Por su parte, Enrique Zapico, director del Mobility Lab de Cesvimap, insistió en que la ciberseguridad en los vehículos es un "aspecto crítico" en la actualidad, "dado el incremento de la conectividad y la integración de sistemas avanzados en los vehículos". "Múltiples tecnologías de comunicación -bluetooth, Wi-Fi y otros sistemas de infoentretenimiento- los hacen más vulnerables a diversos tipos de ciberataques a través del sistema de acceso sin llave, de los servidores que gestionan los datos y las comunicaciones del vehículo, o directamente a la unidad de control del motor, ECU", añadió.

MÚLTIPLES SUPERFICIES DE ATAQUE

Durante este evento, quedó demostrado que es posible comprometer la seguridad de los vehículos a través de múltiples superficies de ataque. Comenzando por las interfaces inalámbricas abiertas, se realizaron ataques al Key Fob utilizando técnicas de Replay Attack, lo que ha permitido abrir las puertas y el maletero del vehículo mediante un SDR. A través del Bluetooth también se realizaron inyecciones de Keystroke no autenticadas en el sistema de infoentretenimiento, desactivando sistemas críticos, como los sistemas avanzados de ayuda a la conducción (ADAS, por sus siglas en inglés).

En un segundo nivel, se analizaron las interfaces cableadas abiertas (OBD, USB, sdcard, etc), accediendo a sistemas de depuración como ADB para ejecutar shells, establecer persistencia y escalar privilegios. También se llevaron a cabo tareas de Ingeniería Inversa sobre aplicaciones propietarias del sistema de infoentretenimiento.

Finalmente, en las interfaces cableadas cerradas, se analizaron las ECUs y los diferentes buses internos del vehículo, como Body Network, Chassis Network y Power Train Network. Mediante Manuales de Servicio y un multímetro se identificaron líneas CAN accesibles desde el exterior del vehículo y se realizaron algunas intrusiones.

Estas actividades resaltan la necesidad de reforzar la seguridad en todas las capas de un vehículo conectado, tanto en sus interfaces físicas como en las inalámbricas, para mitigar posibles riesgos de ciberataques. Por ello, los expertos en ciberseguridad destacan la importancia de integrar las pruebas de penetración dentro del ciclo de desarrollo de los vehículos, ofreciendo una formación sólida sobre la protección de sistemas vehiculares contra ciberataques, y por parte de los fabricantes, implementar actualizaciones periódicas de software y mecanismos de cifrado en las comunicaciones del vehículo. El objetivo: proteger la información sensible frente a accesos no autorizados.