pirateo automotriz

UConnect es la función de conexión a Internet de Fiat Chrysler que permite a los propietarios controlar el sistema de infoentretenimiento/navegación del vehículo, sincronizar contenido multimedia y realizar llamadas telefónicas. Incluso se integra con el WiFi opcional a bordo. ^{[ 6 ]}

Sin embargo, las vulnerabilidades en el sistema UConnect de Fiat Chrysler, disponible en más de 1,4 millones de automóviles, permiten a los piratas informáticos escanear los vehículos con el sistema, conectarse e insertar código malicioso y, en última instancia, tomar el control de funciones vitales del vehículo, como la dirección y los frenos. ^{[ 7 ]}

En 2015, en la conferencia de hacking DEF CON, Marc Rogers y Kevin Mahaffey demostraron ^{[ 8 ] [ 9 ]} cómo se podía usar una cadena de exploits para tomar el control total del Model S. Identificaron varias vulnerabilidades remotas y locales que podían usarse como puntos de entrada. Demostraron que, tras la explotación, el vehículo podía controlarse remotamente con un iPhone. ^{[ 10 ]} Finalmente, también demostraron que era posible instalar una puerta trasera que permitía el acceso y control persistente del vehículo de forma similar a las técnicas de explotación más comúnmente asociadas con los sistemas informáticos tradicionales. Marc Rogers y Kevin Mahaffey trabajaron con Tesla, Inc. para resolver los problemas antes de su divulgación. Se anunció antes de la presentación que toda la flota mundial de coches Model S había sido parcheada durante la noche, la primera actualización de seguridad masiva proactiva Over The Air (OTA) de vehículos vulnerables. ^{[ 11 ] [ 12 ]}

La aplicación OnStar RemoteLink permite a los usuarios utilizar las funciones de OnStar desde sus teléfonos inteligentes Android o iOS . La aplicación RemoteLink puede localizar, bloquear y desbloquear, e incluso arrancar su vehículo. ^{[ 13 ]}

La vulnerabilidad en la aplicación OnStar RemoteLink de General Motors , si bien no es tan grave como la de UConnect, permite a los piratas informáticos suplantar la identidad de la víctima en la aplicación RemoteLink. Esto significa que los piratas informáticos pueden acceder a todas las funciones de la aplicación RemoteLink disponibles para la víctima, incluyendo la localización, el bloqueo y desbloqueo, y el arranque del motor. ^{[ 14 ]}

El investigador de seguridad Samy Kamkar ha demostrado un dispositivo que intercepta las señales de los llaveros de entrada sin llave y permitiría a un atacante desbloquear las puertas y arrancar el motor de un automóvil. ^{[ 15 ]}

Las ventanas traseras de Kia se pueden romper sin que se active la alarma, y ​​Hyundai es similar. ^{[ 16 ]} Desde 2021, ^{[ 17 ] [ 18 ] [ 19 ]} en redes sociales, ^{[ 20 ] [ 21 ] [ 22 ]} videos muestran el robo de vehículos Kia posteriores a 2010 y vehículos Hyundai posteriores a 2014, sin inmovilizadores de motor , con un cable de enchufe USB 1.1 A o alicates. ^{[ 23 ] [ 24 ] [ 25 ] [ 26 ] [ 27 ] [ 28 ] [ 29 ] [ 30 ]} Kia comenzó a instalar inmovilizadores en 2022. ^{[ 19 ] [ 31 ]}

Utilizando un dispositivo falso vendido en la web oscura, los ladrones pudieron robar vehículos forzando la apertura de los faros y accediendo al bus CAN , y luego, una vez dentro del bus, simular las señales para arrancar el vehículo. La vulnerabilidad requiere suficiente tiempo y privacidad para que los ladrones retiren componentes del vehículo, a veces los parachoques, para abrir los faros. ^{[ 32 ]} Posiblemente, la única forma de prevenir este tipo de incidentes por parte de ladrones decididos y con conocimientos sería que los diseñadores de automóviles cifraran el tráfico en el bus CAN.

El 11 de junio de 2024, un grupo de investigadores liderado por Sam Curry descubrió una vulnerabilidad en el portal web de Kia que les permitía reasignar el control de las funciones conectadas a internet de cualquier vehículo Kia fabricado después de 2013. ^{[ 33 ]} Aunque la vulnerabilidad no les permitía interactuar con los sistemas de conducción del coche, crearon una aplicación personalizada para explotarla que les permitía escanear la matrícula de cualquier vehículo "conectado" y rastrear su ubicación, desbloquearlo, hacer sonar la bocina o arrancarlo, todo a voluntad. ^{[ 33 ] [ 34 ] [ 35 ]} Este tipo de vulnerabilidades no son nuevas y se han presentado en coches de otros fabricantes como Acura, Genesis y otros. Si bien la vulnerabilidad del portal web de Kia se corrigió rápidamente, el mismo grupo de investigadores encontró vulnerabilidades similares en otros fabricantes de automóviles, entre ellos Ferrari, BMW, Rolls Royce, Porsche y Toyota. ^{[ 36 ]}

El equipo explotó la vulnerabilidad del portal web de Kia aprovechando las debilidades de la API tanto en los sitios web de concesionarios como de propietarios. Comenzaron registrándose en el sitio web de concesionarios Kia Connect utilizando un enlace de registro legítimo enviado a los clientes. ^{[ 33 ] [ 34 ] [ 35 ]} Al analizar la comunicación de la API de back-end , descubrieron que los sistemas de Kia autenticaban de forma inadecuada a los usuarios en el sistema de concesionarios. Utilizando este conocimiento, manipularon las solicitudes HTTP , modificando los encabezados y los tokens para simular credenciales de concesionario autorizadas. ^{[ 33 ] [ 34 ] [ 35 ]} Con las credenciales del concesionario y el token de acceso, pudieron encontrar información relacionada con el VIN de un automóvil accediendo al punto final de la puerta de enlace de la API del concesionario, que es esencialmente una API para la funcionalidad del concesionario. ^{[ 33 ] [ 34 ] [ 35 ]} La respuesta HTTP resultante al usar el token dio acceso al nombre, número de teléfono y dirección de correo electrónico del propietario del vehículo. ^{[ 33 ] [ 34 ] [ 35 ]}

Una vez que obtuvieron acceso a la información personal, los investigadores escalaron su acceso al portal del propietario reemplazando el correo electrónico asociado a la cuenta del propietario del vehículo. Este paso agregó a los atacantes como usuarios secundarios sin alertar al propietario original, lo que les permitió controlar el vehículo. ^{[ 33 ] [ 34 ] [ 35 ]} Luego enviaron comandos como desbloquear puertas, arrancar motores o rastrear la ubicación del vehículo mediante llamadas a la API con el formato adecuado . ^{[ 33 ] [ 34 ] [ 35 ]} Debido a la falta de sistemas de notificación, los investigadores pudieron hacer todo esto sin que el propietario del vehículo lo supiera.

En julio de 2025, investigadores de la empresa de ciberseguridad PCA Cyber ​​Security revelaron PerfektBlue , una cadena de cuatro vulnerabilidades en la pila Bluetooth BlueSDK de OpenSynergy, ampliamente utilizada en sistemas de infoentretenimiento para automóviles . ^{[ 37 ]} Al combinarse, estas vulnerabilidades podrían permitir a un atacante dentro del alcance de Bluetooth ejecutar código de forma remota en la unidad de infoentretenimiento de un vehículo con una sola interacción del usuario, exponiendo potencialmente la ubicación GPS del vehículo , el audio del automóvil y los contactos almacenados. ^{[ 38 ] [ 39 ]} Se demostraron exploits de prueba de concepto contra unidades de infoentretenimiento de Mercedes-Benz , Volkswagen y Skoda ^{[ 40 ]} , y OpenSynergy lanzó parches para sus clientes en septiembre de 2024. ^{[ 41 ]}