Un grupo de hackers liderados por el investigador Sam Curry, han encontrado graves vulnerabilidades en vehículos de 20 marcas de coches muy conocidas.

Estos bugs de seguridad incluyen la posibilidad abrir las puertas de los coches, arrancarlos, rastrear su posición o ruta, cambiar el titular del vehículo e incluso marcarlo como robado, para que se active una denuncia a la policía.

Los coches modernos son, para bien y para mal, ordenadores con ruedas. Pueden hacer muchas más cosas que llevarnos de un sitio a otro, pero también son igual de vulnerables a los hackers que un PC o un móvil. En realidad, mucho más: el software que utilizan es más nuevo y está menos “maduro”, así que es más fácil de hackear.

Sam Curry ha publicado en su blog los graves bugs de seguridad que han encontrado en los coches de más de 20 marcas, incluyendo BMW, Roll Royce, Mercedes-Benz, Ferrari, Porsche, Jaguar, Land Rover, Ford, KIA, Honda, Infiniti, Nissan, Acura, Hyundai, Toyota, y Genesis.

Hay también marcas que aportan diferentes tecnologías a los vehículos, como Spireon, Reviver y SiriusXM.

Los graves fallos de seguridad de los coches

BMW y Mercedes-Benz son los fabricantes con las vulnerabilidades más graves, según BleepingComputer. 

En el caso de Mercedes-Benz, los investigadores pudieron acceder a instancias privadas de GitHub, canales de chat internos, sistemas XENTRY que se conectan a los coches de los clientes, y mucho más.

Con BMW, entraron en los portales internos de los concesionarios, los números de bastidor de cualquier coche, y documentos de venta con datos confidenciales de los propietarios.

Además podían iniciar sesión como empleado o dueño de concesionario, y acceder a sus zonas privadas.

Con la mayoría de las marcas citadas accedieron a los nombres y direcciones de los compradores de los coches. En el caso de Ferrari, podían borrar, crear o modificar cuentas de clientes, e incluso cambiar el dueño a un coche, asignándolo a otra cuenta. También han podido abrir las puertas, y arrancar los coches de diferentes marcas.

En marcas como Porsche, era posible hackear el GPS para rastrear rutas y posición en tiempo real. Con Reviver, una empresa que permite instalar placas de matrículas personalizables cuya decoración puede cambiarse desde el móvil, consiguieron que la placa notificase a la policía que el coche había sido robado, lo que podría suponer un mal trago para su dueño.

El único consuelo de todo este asunto es que estos hackers son investigadores honestos que avisaron hace 90 días a a las marcas de coches, antes de hacerlo público, y todos los agujeros de seguridad ya han sido corregidos.

Pero, tarde o temprano, llegará el día en el que un ciberdelincuente descubrirá algún nuevo bug de seguridad en las marcas de coches más importantes, antes que los hackers éticos, y lo aprovecharán en su beneficio. Estos investigadores aconsejan compartir los mínimos datos privados con el coche, y seleccionar las opciones de uso más privadas.