¿Pueden ‘hackear’ tu coche mientras conduces? Lo que revela la ciberseguridad sobre las actualizaciones OTA

La imagen es recurrente en el cine de acción: un pirata informático toma el control a distancia de un coche en marcha, gira la dirección y lo frena en seco contra un muro. Sin embargo, la realidad de los coches conectados dista mucho del dramatismo de Hollywood. El peligro existe, es real y preocupa a los expertos, pero la amenaza no viaja por donde el conductor imagina.

Con la llegada del vehículo definido por software (SDV) y la generalización de las actualizaciones remotas (Over-The-Air o OTA), las marcas han encontrado un filón operativo. Esta tecnología permite corregir fallos, añadir funciones o mejorar el rendimiento de la batería sin pisar el concesionario.

Una ventaja indudable para los fabricantes que, de paso, ahorran millones de euros en llamadas a revisión presenciales. Pero toda puerta abierta a la red constituye, al mismo tiempo, una vía potencial de entrada.

La amenaza no es hacerse con el volante

Frente a la creencia popular, los sistemas informáticos críticos para la conducción —como la dirección, el acelerador o los frenos— están protegidos por múltiples capas de seguridad y cortafuegos que los aíslan del sistema de infoentretenimiento conectado a internet. Romper esos muros desde fuera mientras el vehículo rueda es un desafío técnico sumamente complejo para un ataque masivo.

El verdadero riesgo reside en la escala y la inoperabilidad. Según análisis recientes publicados por medios especializados, el mayor temor de los analistas no es el secuestro de un coche individual, sino la activación de un ‘botón de apagado’ (kill switch) a gran escala.

Actualizaciones OTA

Si un grupo de cibercriminales o un actor hostil lograra comprometer el canal de comunicación OTA de un fabricante o de un proveedor de componentes, podría enviar una orden remota para bloquear miles de vehículos simultáneamente.

Los precedentes ya han hecho saltar las alarmas en Europa. Investigaciones en países nórdicos sobre flotas urbanas conectadas de fabricación extranjera revelaron que los constructores mantenían acceso celular continuo a sistemas secundarios del vehículo.

El temor de las autoridades en Dinamarca o Reino Unido no era que alguien condujera un autobús a distancia, sino la posibilidad de paralizar el transporte público o los servicios de emergencia de toda una ciudad con solo pulsar un botón.

Blindar el código desde su creación

Para contener esta vulnerabilidad sistémica, la industria se enfrenta a un desafío continuo. El profesor Siraj Ahmed Shaikh, especialista en ciberseguridad de sistemas de la Universidad de Swansea, advierte en declaraciones a la CNBC (el legendario canal de televisión estadounidense sobre noticias de economía) de que el impacto de estas brechas trasciende la privacidad de los datos personales: afecta de lleno a la seguridad nacional y a la infraestructura de transportes.

La respuesta técnica pasa por blindar el código desde su origen. La industria trabaja en la migración hacia sistemas operativos en tiempo real (RTOS) basados en micronúcleos aislados, impidiendo que una intrusión en la pantalla central escale hacia los módulos de control dinámico. A nivel normativo, marcos internacionales como el reglamento UNECE WP.29 ya obligan a los fabricantes a certificar un Sistema de Gestión de Ciberseguridad (CSMS) estricto para homologar sus nuevos modelos.

El sistema OTA es un arma de doble filo: permite cerrar una brecha de seguridad de forma instantánea en millones de coches de un día para otro, pero exige vigilar un número creciente de entradas digitales. En un automóvil moderno, la ciberseguridad ha dejado de ser un extra tecnológico para convertirse en un pilar indispensable de la seguridad vial.

Tomar el control total del coche es posible

Sin embargo, que el riesgo masivo sea la paralización no significa que el secuestro físico del vehículo sea una imposibilidad. Como expuso ampliamente el célebre experto en ciberseguridad Bruce Schneier en su aclamado libro “Haz clic aquí para matarlos a todos: un manual de supervivencia”, tomar el control remoto de los frenos, la dirección y el motor por parte de un ‘hacker’ especializado es técnicamente viable.

Al lograr saltarse las barreras entre el sistema de conectividad y la red interna del coche (el bus CAN), un atacante cualificado puede tomar las riendas del vehículo, demostrando que la frontera entre un ordenador con ruedas y un peligro en la carretera sigue siendo alarmantemente estrecha.