Normalmente encontramos vulnerabilidades y brechas de seguridad en software y empresas conocidas, pues los cibercriminales suelen enfocarse en estas para poder obtener documentos importantes y solicitar rescates pidiendo altas cifras de dinero por ello. En este caso no tenemos una compañía del sector tecnológico afectada, sino más bien dos fabricantes de vehículos cuyo nombre no han revelado, pero lo que si sabemos es que sus coches tienen vulnerabilidades de seguridad y los hackers pueden controlarlos a distancia.
Existen numerosos casos documentados de vulnerabilidades que afectan a los automóviles, especialmente cuando disponen de tecnologías de conducción autónoma, reconocimiento de señales, cámaras o sensores LiDAR. Algunos investigadores han conseguido engañar a estos sistemas para provocar aceleraciones inesperadas, frenazos, cambios de carril e incluso decisiones que podrían terminar en accidentes. Hace tres años estuvimos hablando de que había más de una docena de marcas de vehículos que tenían vulnerabilidades y ahora volvemos con un caso similar, aunque en este caso se accedió a través de las API.
Dos fabricantes de vehículos tienen vulnerabilidades que permiten descubrir su ubicación y controlarlos a distancia
Dos importantes fabricantes de automóviles han sufrido graves vulnerabilidades de seguridad que permitían a los atacantes controlar los coches de forma remota, sin necesidad de tener las llaves ni acceder físicamente al coche. Los fallos fueron descubiertos por los investigadores de ciberseguridad Shubham Shah y Sam Curry y estos afectaban a los sistemas informáticos que gestionaban las aplicaciones móviles de ambas compañías. Los fabricantes no han sido identificados oficialmente, aunque Tom’s Hardware dice que uno de ellos podría ser Toyota, ya que en una demostración aparece un vehículo aparentemente similar al RAV4. Sin embargo, esta identificación no está confirmada.
La investigación comenzó cuando Shah analizó el código de una aplicación Android y descubrió herramientas administrativas que permitían consultar información de los propietarios. Mediante diferentes solicitudes a los servidores, los investigadores podían relacionar la matrícula de un automóvil con su número de identificación VIN y posteriormente obtener información personal del propietario, incluyendo su dirección de correo electrónico. También encontraron credenciales que podían utilizarse en sistemas de producción, pese a que aparentemente estaban destinadas a entornos de pruebas.
El problema no estaba directamente en los sistemas electrónicos de los automóviles, sino en los servidores de autenticación y las interfaces de programación (API) utilizados para controlar sus funciones mediante Internet. Ambos fabricantes empleaban tecnología de ForgeRock para gestionar las cuentas de sus clientes. Los investigadores descubrieron numerosas deficiencias de seguridad, como credenciales administrativas incorporadas directamente en archivos JavaScript accesibles públicamente, herramientas internas expuestas a Internet, contraseñas predeterminadas de administración y mecanismos de protección configurados incorrectamente.
Los fabricantes lograron arreglar las vulnerabilidades tan solo 2 horas después del aviso
Los investigadores consiguieron superar las restricciones de un cortafuegos de aplicaciones web y acceder a funciones administrativas de ForgeRock. En una de las cadenas de ataque llegaron a ejecutar código en los servidores de autenticación, mientras que otra vulnerabilidad permitía modificar contraseñas de usuarios y evitar la autenticación multifactor en determinados entornos. De esta manera, podían hacerse pasar por los propietarios legítimos y generar sesiones de acceso válidas, obteniendo prácticamente las mismas capacidades que ofrecía la aplicación oficial del fabricante.
Una vez comprometida una cuenta, los investigadores podían consultar la ubicación del automóvil, kilometraje, autonomía, nivel de combustible o batería, presión de los neumáticos y estado de puertas y ventanas. También podían utilizar las funciones de control remoto disponibles según el modelo y la suscripción, incluyendo desbloquear las puertas, arrancar o detener el motor, activar el claxon y encender las luces de emergencia. Las vulnerabilidades afectaban a infraestructuras utilizadas en diferentes regiones, especialmente Estados Unidos, Canadá y Australia. Afortunadamente, ambos fabricantes corrigieron las vulnerabilidades aproximadamente dos horas después de recibir los avisos de seguridad, además de sustituir las credenciales comprometidas. Los investigadores publicaron los detalles técnicos en noviembre de 2026, una vez solucionados los problemas.
