La creciente conectividad en el sector automotriz ha transformado la forma en que interactuamos con nuestros vehículos, pero también ha desvelado vulnerabilidades significativas en la seguridad de estas tecnologías. Un reciente análisis sobre la plataforma de vehículos conectados de un importante fabricante de automóviles ha puesto de manifiesto fallos alarmantes que permiten a terceros acceder a funciones críticas de los automóviles, como el desbloqueo de puertas y el arranque del motor.
El estudio comenzó con una serie de investigaciones sobre la infraestructura de la aplicación móvil del fabricante. A través de la descompilación del código y el análisis de las solicitudes API, se descubrió que la mayoría de las interacciones de la aplicación se conectaban a un dominio específico. Al investigar más, se identificó un subdominio dedicado a herramientas administrativas que, sorprendentemente, no requería un alto nivel de autenticación, facilitando el acceso a datos sensibles de clientes.
Los investigadores encontraron que el acceso a cuentas de usuario se podía realizar con un nivel mínimo de autenticación, utilizando sencillos códigos de API integrados en el JavaScript de la aplicación. Esto se evidenció al poder recuperar cuentas de usuarios con solo conocer su dirección de correo electrónico. La cadena continuó desvelándose cuando se descubrió un API que permitía obtener información del vehículo utilizando el número de matrícula, que puede ser rápidamente convertido en el Número de Identificación del Vehículo (VIN) a través de registros estatales.
Explorando la plataforma de identidad
El estudio se adentró en la complejidad de la plataforma de gestión de identidades del fabricante, que utiliza soluciones de ForgeRock. La autenticación a través de sus sistemas parecía sólida hasta que se identificaron configuraciones que permitían eludir el proceso de autenticación de múltiples factores (MFA). Esto llevó a los investigadores a la conclusión de que era posible generar un token de acceso que otorgaba control total sobre el vehículo y su sistema conectado.
Después de haber logrado obtener un token de acceso para cualquier usuario, los investigadores fueron capaces de emitir comandos a los automóviles, incluyendo la opción de desbloquear puertas y arrancar motores. Este proceso se facilitó mediante el aprovechamiento de vulnerabilidades en la configuración de la plataforma, que permitían hacer llamadas API a través de un simple script:
POST /v1/remote/route/command HTTP/1.1
Authorization: Bearer <app_access_token>
VIN: XXXXXXXXXXXXXXXXX
Content-Type: application/json
{"command": "door-unlock"}Esta situación resalta una preocupación creciente en el sector automotriz: a medida que los vehículos se vuelven cada vez más conectados, la seguridad se convierte en una prioridad crítica. Este despliegue permite a los atacantes ejecutar comandos en vehículos, accesibles con información tan básica como una matrícula. Los hallazgos subrayan la necesidad urgente de fortalecer la seguridad de las plataformas de automóviles conectados.
Los investigadores han instado a los fabricantes a que reevalúen sus estrategias de ciberseguridad, implementando mejores prácticas y estructuras de autenticación más robustas. Mientras tanto, el análisis está generando discusiones dentro de la industria acerca de cómo abordar eficazmente estas brechas de seguridad y proteger a los consumidores de posibles ataques en el futuro.