¿Cómo hackearon un BYD Shark 6 a distancia y qué pudieron controlar?

Un especialista en ciberseguridad consiguió acceder a distancia a un BYD Shark 6 y manejar varias funciones del vehículo aprovechando un punto de acceso digital que, según la investigación realizada en Australia, no estaba protegido por contraseña. Desde un ordenador pudo bloquear las puertas, manipular el sistema multimedia, activar los limpiaparabrisas, apagar las luces, seguir la posición del coche y escuchar lo que ocurría dentro mediante el micrófono del habitáculo.

La prueba no demostró que el investigador pudiera hacerse con el control absoluto del automóvil. No accedió a los frenos ni a las cámaras, dos sistemas que encontró mejor protegidos. Pero tampoco hacía falta llegar tan lejos para dejar una imagen incómoda: un vehículo de más de dos toneladas circulando mientras alguien situado fuera del coche puede apagar sus faros o escuchar una conversación privada. El viejo automóvil mecánico, aquel que terminaba más o menos donde terminaba el volante, queda bastante lejos.

El protagonista es el BYD Shark 6, una pick-up híbrida enchufable —conviene precisarlo: no es un eléctrico puro— comercializada por el fabricante chino BYD. El investigador Dan Hreszczuk, cofundador de la empresa australiana Fortify Labs, dispuso del vehículo durante unas dos semanas dentro de una prueba preparada para el programa Four Corners de la cadena pública australiana ABC. Es decir, hablamos de una investigación de seguridad controlada, no de un ataque criminal contra un conductor elegido al azar.

Ese matiz importa. También importa el otro: la demostración funciona como una radiografía bastante gráfica de un problema que atraviesa a toda la industria. Los coches modernos tienen conexión permanente, aplicaciones móviles, actualizaciones remotas, GPS, cámaras, Bluetooth, micrófonos y decenas de ordenadores internos. Son vehículos, sí. Pero también son terminales conectados con ruedas.

Un acceso sin contraseña abrió la puerta digital del BYD

Hreszczuk encontró un punto de entrada que, de acuerdo con la investigación difundida en Australia, carecía de protección mediante contraseña. Una vez dentro de esa zona de la arquitectura electrónica pudo estudiar durante días los programas responsables de distintas funciones y preparar la demostración posterior.

La escena más aparatosa ocurrió en una carretera cerca de Canberra. Mientras el periodista Angus Grigg conducía, el investigador controlaba el BYD desde su ordenador. Primero cerró las puertas con el conductor dentro. Después reprodujo música, envió imágenes a la gran pantalla central y comenzó a manipular elementos que un conductor necesita para circular con normalidad.

Los limpiaparabrisas se pusieron en marcha, apareció agua sobre el parabrisas y las luces cambiaron de estado. Finalmente, los faros se apagaron por completo mientras el vehículo avanzaba. La prueba se realizó a unos 30 kilómetros por hora y en condiciones preparadas para el experimento.

No es lo mismo que tomar la dirección o accionar los frenos, pero basta imaginar la misma interferencia de noche, con lluvia y en una carretera secundaria para comprender por qué la ciberseguridad empieza a parecerse bastante a la seguridad vial tradicional. Un fallo informático que hace veinte años bloqueaba un ordenador podía ser desesperante; uno que apaga los faros de un coche juega en otra liga.

Lo que pudo controlar y dónde encontró el límite

La prueba permitió manipular cerraduras, luces, limpiaparabrisas, sistema multimedia y altavoces, además de obtener la localización del vehículo y acceder al audio captado dentro del habitáculo. Sin embargo, Hreszczuk explicó que no consiguió entrar en los sistemas responsables de los frenos ni en las cámaras y que esas áreas estaban mejor protegidas.

Esa frontera evita una conclusión fácil pero incorrecta: la investigación no demuestra que un hacker pueda conducir completamente cualquier BYD Shark 6 desde un portátil. Tampoco permite afirmar que todas las unidades, versiones de software o configuraciones del modelo tengan exactamente la misma exposición.

Hay otro detalle relevante. El investigador tuvo el automóvil durante dos semanas antes de realizar la prueba pública. La información difundida no ofrece todos los detalles técnicos necesarios para reproducir el ataque, ni una relación completa de versiones afectadas. Lo demostrado es suficientemente serio por sí mismo; exagerarlo no hace el problema más real.

El micrófono convierte la privacidad en algo mucho más tangible

La parte más llamativa visualmente fue la de los faros. La más inquietante quizá sea otra. El investigador consiguió escuchar el micrófono interior del vehículo mientras este circulaba por Canberra y seguir su localización prácticamente en tiempo real.

Durante la demostración, el periodista mantuvo desde el coche una conversación telefónica en la que mencionaba información personal relacionada con su banca electrónica. Desde el laboratorio, aquella conversación podía escucharse y grabarse. De repente, la privacidad dentro del automóvil dejaba de ser una cuestión abstracta de condiciones legales que casi nadie lee.

Después apareció una segunda capa del problema. Utilizando fragmentos de audio y los altavoces del propio coche, el investigador reprodujo comandos destinados al asistente de voz de un teléfono que había quedado desbloqueado dentro del vehículo. Así consiguió consultar información almacenada en el móvil.

No era únicamente una vulnerabilidad del coche, por tanto. Era una cadena de confianza rota: micrófono, altavoces, teléfono móvil, asistente de voz y datos personales interactuando entre sí. Cada dispositivo por separado puede parecer razonablemente seguro; unidos, abren caminos que nadie había previsto cuando se diseñó cada pieza.

Ahí está uno de los grandes problemas del automóvil conectado. Ya no basta con proteger la llave o impedir que alguien fuerce una cerradura. Hay que defender interfaces inalámbricas, servidores, aplicaciones, cuentas de usuario y actualizaciones, además de los pequeños puentes digitales que comunican unos sistemas con otros.

BYD, los datos y China: hechos, dudas y límites de la investigación

La investigación australiana introdujo además un elemento políticamente sensible: BYD es una compañía china y buena parte del debate giró alrededor del tratamiento de los datos generados por sus vehículos.

BYD aseguró que los datos obtenidos de usuarios australianos se almacenan en Australia y sostuvo que no los ha entregado ni los entregaría a las autoridades chinas. La compañía también afirmó que la privacidad y la seguridad de sus clientes son prioritarias.

La investigación detectó, además, cambios en la documentación de privacidad de BYD Australia después de que el medio planteara sus preguntas. Una versión anterior hacía referencia a China entre los países a los que podían transferirse datos y utilizaba términos relacionados con actividades de vigilancia; posteriormente esos términos desaparecieron de la política de privacidad revisada. BYD indicó que el documento había sido sometido a una revisión.

Eso permite hablar de dudas legítimas sobre privacidad y transferencia internacional de información. No permite, sin pruebas adicionales, afirmar que el Gobierno chino estuviera utilizando aquellos coches para espiar a sus propietarios. Son dos planos distintos, aunque en el debate público tiendan a mezclarse con una facilidad casi deportiva.

Y no conviene perder de vista el bosque por mirar únicamente el pasaporte del fabricante. Un automóvil conectado puede recopilar ubicación, identificadores del vehículo, estado de puertas y ventanas, kilometraje o batería, además de otra información operativa y datos asociados a la cuenta del propietario. La cuestión de fondo afecta a toda una industria que está convirtiendo el coche en una plataforma digital.

Europa ya trata la ciberseguridad como parte de la homologación

El contexto regulatorio australiano resulta especialmente importante porque allí la investigación ha alimentado el debate sobre la necesidad de establecer estándares mínimos de ciberseguridad para vehículos conectados. A medida que estos automóviles recopilan y procesan más información, la frontera entre protección de datos, seguridad informática y seguridad física se vuelve cada vez más fina.

En Europa la situación es distinta. El marco de homologación incorpora requisitos específicos para que los fabricantes dispongan de sistemas de gestión de ciberseguridad, evalúen riesgos, apliquen medidas de mitigación, comprueben su eficacia y mantengan mecanismos capaces de detectar y gestionar posibles ataques.

Esto no significa que un coche homologado en España sea imposible de hackear. Esa garantía sencillamente no existe. Significa algo más realista: la seguridad digital forma parte de las exigencias regulatorias del vehículo, junto a muchos otros elementos relacionados con su seguridad.

Y hay una diferencia importante. La ciberseguridad no termina cuando el automóvil sale del concesionario. Aparecen vulnerabilidades nuevas, cambian los servidores, se actualizan las aplicaciones y envejece el software. Un vehículo puede permanecer quince años en circulación mientras la tecnología que lleva dentro cambia de mundo varias veces.

El problema es mucho mayor que un BYD Shark 6

Reducir el caso a una historia sobre un coche chino hackeado sería cómodo, aunque bastante miope. La arquitectura del automóvil moderno está evolucionando hacia el llamado vehículo definido por software: muchas funciones que antes dependían exclusivamente de componentes físicos están gestionadas por código y pueden modificarse mediante actualizaciones remotas.

Eso ofrece ventajas evidentes. Un fabricante puede corregir errores sin llevar miles de coches al taller, mejorar sistemas de navegación, modificar funciones o reparar vulnerabilidades mediante una actualización. También crea una puerta que debe permanecer abierta para el fabricante y cerrada para todos los demás. Ahí empieza el equilibrio delicado.

Cuantas más funciones se conectan, mayor es la llamada superficie de ataque, una expresión técnica bastante intuitiva: simplemente significa que existen más lugares por los que intentar entrar. Una aplicación móvil, una conexión Bluetooth, una red celular, un servicio en la nube o el propio sistema multimedia pueden convertirse en piezas de esa superficie.

Por eso importa especialmente que los sistemas críticos estén separados. El hecho de que durante esta prueba los frenos permanecieran protegidos muestra precisamente la lógica que debería gobernar estos diseños: aunque alguien consiga entrar en una parte menos sensible, las funciones esenciales para controlar el vehículo necesitan barreras adicionales.

Cuando el coche también es un ordenador, una cámara y un micrófono

El experimento con el BYD Shark 6 no demuestra una epidemia de coches secuestrados remotamente ni convierte automáticamente cada vehículo conectado en una máquina de espionaje. Demuestra algo más sobrio y quizá más importante: un fallo de ciberseguridad puede tener consecuencias físicas y de privacidad al mismo tiempo.

La industria lleva décadas aprendiendo a fabricar carrocerías que absorben impactos, frenos que responden en milésimas y habitáculos que protegen al ocupante. La siguiente batalla se libra en un lugar menos visible: código, credenciales, servidores, interfaces y actualizaciones.

Porque el coche conectado conserva volante, pedales y cuatro ruedas, pero bajo la chapa hay otra máquina. Una que conoce dónde está, puede escuchar, recibe órdenes del exterior y conversa continuamente con sistemas remotos.

El caso del BYD lo deja especialmente claro: la contraseña también se ha convertido en una pieza de seguridad del automóvil. Y, visto lo ocurrido en aquella carretera australiana, quizá sea tan poco glamourosa como imprescindible.