Cómo proteger su vehículo inteligente de los ataques cibernéticos

Estaba emocionado cuando compré mi vehículo actual principalmente porque venía con algunas características geniales como un cargador de teléfono inalámbrico, transferencia de datos de teléfono a automóvil, escaneo en tiempo real de señales de tráfico y sensores.

También podría usar una aplicación para arrancar el vehículo, cerrar puertas y configurar y controlar la velocidad. También había una opción para conectar el vehículo a mi red doméstica o convertirlo en un punto de acceso.

Sin embargo, me sacó de mi ensimismamiento al darme cuenta repentinamente de que conectar mi teléfono al automóvil me expone a posibles riesgos de ciberseguridad. Después de todo, el 7,3 % de los incidentes que afectaron a los vehículos conectados entre 2010 y 2021 involucraron una aplicación móvil complementaria.

Robar vehículos de forma remota no es solo una fantasía de Hollywood

Mi preocupación por los posibles incidentes cibernéticos no se debió a la representación de Hollywood de los vehículos pirateados como en Fast and Furious 8 . Hay evidencia que apunta a la posibilidad de que los vehículos sean pirateados y secuestrados.

Los investigadores eliminaron con éxito el motor de un automóvil en movimiento al explotar un dongle vulnerable Bosch Drivelog Connector. Un investigador de seguridad, , accedió de forma remota a decenas de Tesla repartidos por todo el mundo debido a una vulnerabilidad en el software de registro TeslaMate.

Los investigadores de ciberseguridad no fueron los únicos interesados en explotar las vulnerabilidades de los automóviles conectados. Según un , los ciberataques a vehículos aumentaron un 225 % en 2021 desde 2018, mientras que los actores de amenazas fueron responsables del 54,1 % de los incidentes.

Alrededor del 85 % de los ataques se ejecutaron de forma remota, el 40 % apuntó a servidores back-end, el 38 % involucró violaciones de datos/privacidad y el 20 % afectó a los sistemas de control. Los accesos sin llave y los ataques con llaveros remotos representaron el 50 % de todos los robos de vehículos.

Un aumento en Se observaron ataques en la primera mitad de 2022, allanando el camino para la interrupción a gran escala de las capacidades de carga, el compromiso de los privilegios administrativos y los ataques de ransomware contra los usuarios de vehículos eléctricos.

Algunas de las formas utilizadas para comprometer los vehículos inteligentes incluyen la manipulación de códigos y datos internos, el envío de mensajes dañinos a través de los sistemas de infoentretenimiento, la explotación de vulnerabilidades en el software y los dispositivos conectados, el compromiso del acceso privilegiado, la incorporación de virus en los medios de comunicación, el secuestro de servidores para comunicar códigos maliciosos a los vehículos en red. y el despliegue de ataques de denegación de servicio para provocar el mal funcionamiento de los vehículos.

Los vectores de amenazas emergentes están demostrando ser muy disruptivos. Se ha observado un aumento en los ataques que explotan vulnerabilidades en las API para acceder y controlar vehículos de forma remota, robarlos e interrumpir funcionalidades críticas.

Los actores de amenazas también usan estaciones de carga para atacar vehículos eléctricos, cometer fraude de suplantación de identidad e interrumpir la capacidad de cargar vehículos eléctricos a escala.

El riesgo de los vehículos conectados es una amenaza inminente emergente

Como cualquier otro dispositivo de Internet de las cosas (IoT), los vehículos conectados son susceptibles a los riesgos de ciberseguridad. El infame ataque de la red de bots Mirai de 2016 convirtió en armas a muchos dispositivos IoT para provocar ataques de denegación de servicio (DDoS) distribuidos y generalizados a nivel mundial.

En los EE. UU., casi la mitad de las organizaciones que utilizan una red IoT se han visto afectadas por una brecha de seguridad, lo que ha resultado en una pérdida financiera significativa. La posibilidad de armar vehículos inteligentes se puede lograr si no se implementan los controles de ciberseguridad apropiados.

Las vulnerabilidades y enumeraciones comunes (CVE) encontradas en vehículos inteligentes aumentaron un 321 % en 2021 desde 2020.

Hubo 26 críticos y 70 altos. que incluía el emparejamiento de Bluetooth no autorizado (CVE-2021-0583) y una vulnerabilidad del sistema operativo de información y entretenimiento en el vehículo (CVE-2021-22156) que podría usarse para ejecutar un ataque DoS.

Los vehículos conectados y las estaciones de carga que ejecutan bibliotecas Apache Log4j son susceptibles a las vulnerabilidades de Log4Shell (CVE-2021-44228, CVE-2021-45046 y CVE-2021-45105).

Estas vulnerabilidades han sido explotadas para infraestructura de vehículo a red (V2G), actualizaciones de firmware por aire (FOTA), sistemas de información y entretenimiento en el vehículo (IVI) y llaves digitales que controlan las funcionalidades críticas del vehículo.

Las amenazas cibernéticas emergentes contra los vehículos conectados incluyen amenazas a los canales de comunicación (89,3 %), amenazas a los datos/código del vehículo (87,7 %), vulnerabilidades sin parches (50,8 %), amenazas a la conectividad y las conexiones del vehículo (47,1 %) y amenazas a los servidores backend ' conectividad (24,1%).

Con el crecimiento de las redes tecnológicas de vehículo a todo (V2X) y celular de vehículo a todo (CV2X), las oportunidades son infinitas para que los actores de amenazas exploren.

Esta red incluye vehículo a peatón (V2P), vehículo a red (V2N), vehículo a vehículo (V2V), vehículo a nube (V2C), vehículo a red (V2G) y vehículo a infraestructura (V2I).

Cualquier vulnerabilidad en el ecosistema podría convertirse en un arma para causar una interrupción masiva, incluidos los riesgos de seguridad.

Un mayor crecimiento de vehículos inteligentes conlleva un mayor riesgo

Se proyecta que el mercado de vehículos conectados crezca a USD 121 mil millones para 2025. Para 2023, se prevé que la industria automotriz global entregue más de 76 millones de vehículos conectados.

La conectividad 5G está configurada para transformar la experiencia automotriz a través de telemática mejorada, estacionamiento de fábrica automatizado, sistemas avanzados de asistencia al conductor, conducción autónoma, datos continuos y conectividad celular.

Se estima que un vehículo inteligente generará 25 GB de datos por hora para 2025, superando las actividades de navegación web o transmisión de video.

El crecimiento y la transformación de la industria automotriz amplían la superficie de ataque y amplifican la exposición a riesgos comerciales significativos. Según el , el pronóstico para el mercado de vehículos conectados es de USD 215 mil millones para 2027.

Sin embargo, para 2024, se estima que la industria perderá más de USD 500 mil millones para . Es seguro asumir que la mayoría de las ganancias del mercado de vehículos inteligentes serían eliminadas por ataques cibernéticos.

Además de los estándares regulatorios de ciberseguridad, como los reglamentos WP.29 R1552 y R1563 de la Comisión Económica para Europa de las Naciones Unidas (CEPE) y el estándar ISO/SAE 21434, los fabricantes de vehículos inteligentes deben priorizar controles de seguridad adecuados para reducir la superficie de ataque y minimizar la explotación exitosa de vulnerabilidades. .

Cosas que puede hacer para asegurar su vehículo inteligente

Proteger los vehículos conectados no es solo responsabilidad de los fabricantes de vehículos. Los propietarios de vehículos tienen un papel que desempeñar para minimizar el acceso y las filtraciones de datos. Seguir estas sencillas recomendaciones dificultará que los delincuentes roben sus datos o su vehículo.

• Limite la información personal compartida con su vehículo inteligente, incluida la forma en que guarda la dirección de su casa (lo suficientemente divertido, después de que mi automóvil se actualizó, me solicitó que configurara un perfil de usuario con mi llave inteligente; acertó, rechacé la configuración).

• Mantenga su teléfono móvil actualizado y asegúrese de que las aplicaciones sean seguras para instalar. Las aplicaciones infectadas podrían usarse para comprometer teléfonos y vehículos conectados.

• No sincronice su teléfono con vehículos de alquiler. Es posible que esté dejando demasiada información de la deseada.

• Actualice el firmware cuando esté disponible, pero no en movimiento. No puede predecir qué afectará la nueva actualización, por lo que desea hacerlo de manera segura.

• Asegúrese de que los dispositivos conectados, como los dongles USB, no tengan malware.

• Intente en la medida de lo posible evitar conectar su vehículo a su red doméstica. Si es necesario, mantenga la conexión en un canal dedicado.

• Sea consciente de su entorno cuando utilice llaveros. Si su vehículo está equipado con una entrada sin llave en la puerta, utilícela para bloquear/desbloquear el vehículo en lugar del control remoto.

• Cargue sus vehículos eléctricos solo en estaciones dedicadas con control de disuasión adecuado (por ejemplo, cámaras de vigilancia).

• Cuando se conecte a las redes sociales a través de su vehículo, tenga cuidado de no hacer clic en enlaces sospechosos.

• Tenga en cuenta que si su vehículo puede conectarse a Internet, puede descargar software malicioso. Sea consciente de los sitios web que visita.

• Si nota que su tablero se muestra de manera extraña, es mejor no conducir hasta que esté seguro de que el sistema de infoentretenimiento no ha sido alterado.

Sal a la carretera con confianza

La posibilidad de un ciberataque no debería impedirle disfrutar de su vehículo inteligente. Tomar decisiones de seguridad inteligentes como se recomienda anteriormente le permite explorar las funciones interesantes que ofrece su vehículo conectado sin comprometer su seguridad.

Además, los fabricantes de automóviles deben garantizar que los principios de ingeniería segura se integren en cada fase del ciclo de vida del desarrollo del vehículo.

Los proveedores externos desempeñan un papel importante en el mantenimiento de la integridad de los vehículos conectados mediante la implementación de controles adecuados para minimizar la explotación de vulnerabilidades en la cadena de suministro digital.