La piratería de automóviles llega a las calles


Los tres principales fabricantes de automóviles venden solo vehículos conectados en los Estados Unidos, y otros fabricantes se están poniendo al día, creando una gran oportunidad para los ataques, que los hackers de sombrero negro no están pasando por alto.

(imagen de Tomasz Zajda, a través de Adobe Stock)

(imagen de Tomasz Zajda, a través de Adobe Inventory)

En 2020, el mercado de automóviles conectados alcanzará un punto de inflexión, con la mayoría de los vehículos ya conectados a Net cuando se venden en los Estados Unidos, lo que representa una gran base de objetivos potenciales para ataques, según un informe publicado por la empresa de ciberseguridad Upstream Seguridad.

La compañía documentó 176 ataques digitales, electrónicos y cibernéticos dirigidos a vehículos en 2019, más del doble de los 78 ataques del año anterior. Los incidentes variaron desde robar autos pirateando llaveros de entrada sin llave hasta rastrear camiones al comprometer los servicios de flota en línea. Por segundo año consecutivo, los actores maliciosos realizaron más ataques contra los sistemas de vehículos que los investigadores de seguridad y los piratas informáticos, una tendencia que es poco probable que revierta, dice Dan Sahar, vicepresidente de productos de Upstream Security.

«Los &#39días de Charlie Miller&#39, donde solo se trata de actividad investigadora, eso está detrás de nosotros», dice. «Estamos viendo a piratas informáticos con intención legal ahora el actor más importante que persigue vehículos».

Desde 2010, Upstream ha compilado datos sobre 388 ataques digitales, electrónicos y cibernéticos, de los cuales más del 45% ocurrieron en el último año. En abril, por ejemplo, un pirata informático descubrió que dos servicios de GPS, ProTrack e iTrack, configuraron cuentas con una contraseña predeterminada, que muchos usuarios no habían cambiado, permitiéndole acceder a 27,000 cuentas entre los dos servicios. Según los informes, el acceso a las cuentas podría haberse utilizado para apagar un motor de forma remota, si el automóvil se movía a 12 mph o menos.

Las contraseñas débiles fueron encontradas por un pirata informático de sombrero blanco, pero, cada vez más, las infracciones y los ataques son alimentados por delincuentes: el 57% de los ataques son maliciosos, descubrió Upstream. En un ataque felony, un online video muestra a ladrones de autos robando un Tesla en menos de 30 segundos usando un bypass de entrada sin llave. En otro, atacantes de estado-nación vinculados a Vietnam robó información sobre 3.1 millones de clientes de Toyota.

Si bien los ataques que derriban flotas completas de automóviles son teóricamente posibles, la mayoría de los ataques se han centrado en delitos que al remaining tienen una recompensa: ya sea el robo del vehículo, como en el caso de Tesla, o el acceso a la información del consumidor, como sucedió con Toyota, dice Sahar.

«Lo que probablemente seguirá sucediendo son los ataques más en las líneas de interrupción del servicio», dice. «Menos por amenazar la seguridad humana, pero aún así hacer que sientan el impacto. Las compañías que ya no pueden encender los motores en su flota de camiones, por ejemplo. O los consumidores no pueden desbloquear sus autos en la mañana».

El aumento de los incidentes, que se duplicó en 2019 con respecto al año anterior, se debe a la proliferación de sistemas conectados e integrados en los vehículos, así como a la investigación que ha sentado las bases para muchos de los ataques.

Cuando dos investigadores, Charlie Miller y Chris Valasek, demostraron en 2015 que un Jeep podría ser pirateado Mientras iba a 70 mph en la carretera, los automóviles conectados todavía eran relativamente raros. Eso está listo para cambiar.

Ya, los tres principales fabricantes de automóviles en los EE. UU., GM, Toyota y Ford, planean vender solo automóviles conectados este año, según un informe de la organización sin fines de lucro Shopper Watchdog. Esas tres compañías representan más de la mitad de los automóviles vendidos en los Estados Unidos. Otros fabricantes de automóviles están en camino de pasar al 100% de sus vehículos conectados a Web en los próximos cinco años.

La mayoría de los ataques se centran en el sistema de entrada sin llave (30%), los servidores de aplicaciones para el servicio (27%), la aplicación móvil para el servicio (13%) o el puerto de diagnóstico a bordo utilizado por los mecánicos para dar servicio al vehículo, según Informe de Upstream. Si bien los ataques sin llave, que permiten a los ladrones robar un automóvil, son una forma fácil de monetizar un sistema susceptible, ya que la técnica requiere proximidad, solo puede afectar a un solo automóvil a la vez. Sin embargo, los ataques al servidor podrían afectar a millones de automóviles, destaca Upstream.

«Cuando alguien obtiene acceso a un servidor telemático, tiene acceso a todo lo que está conectado a él, incluidas las aplicaciones, los datos y todos los vehículos conectados», declaró la compañía en su informe. «Esto puede conducir a ataques de vehículos múltiples o de toda la flota, que son extremadamente riesgosos para todas las partes involucradas, desde los fabricantes de equipos originales hasta los proveedores de servicios telemáticos y las compañías que administran las flotas hasta los discos».

Debido a que es poco lo que los consumidores pueden hacer para asegurar sus automóviles, los fabricantes tienen que intensificar. Lo han hecho algo despacio. La industria creó su propio centro de análisis e intercambio de información en 2016, y muchas compañías han comenzado a pagar por información de vulnerabilidad. Tesla inició un programa de recompensas por errores en 2014. Normal Motors hizo lo mismo en 2016, Toyota en 2018 y Ford el año pasado.

«La seguridad es algo en lo que las compañías automotrices están invirtiendo más presupuesto», dice Sahar. «Debido a que los consumidores no tienen la capacidad de protegerse a sí mismos, es una gran responsabilidad de los OEM, los fabricantes de automóviles y los proveedores de flotas centrarse también en la seguridad».

contenido relacionado

Revisa El borde, La nueva sección de Dark Looking at para características, datos de amenazas y perspectivas en profundidad. La historia principal de hoy: «¿Qué herramientas encontrarán configuraciones erróneas en mis AWS S3 Cloud Buckets?»

Periodista de tecnología veterano de más de 20 años. Ex ingeniero de investigación. Escrito para más de dos docenas de publicaciones, incluidas CNET News.com, Darkish Studying, MIT&#39s Engineering Review, Well known Science y Wired News. Cinco premios para el periodismo, incluyendo Mejor fecha límite … Ver biografía completa

Más strategies





Enlace a la noticia unique