Coches cada vez con más tecnologías, más conectividad y, por tanto, más ‘informatizados’. ¿Son nuestros coches ciberseguros? Se calcula que el software que equipa un coche moderno de gama media se compone de unos 100 millones de líneas de código frente a los 24 millones de un caza de combate F35. Son auténticos ordenadores sobre ruedas.
No hay coche que hoy se lance al mercado que no tenga algún sistema de conectividad. Tecnologías como las que permiten conectar el coche con un smartphone -a través del Bluetooth, de un cable USB o de una aplicación móvil-, o a Internet -a través de un punto Wifi instalado en el interior del propio coche-.
Todo esto está muy bien, nos puede ayudar en la conducción pero también tiene su punto negativo y es que ya hay vehículos que han sufrido ciberataques, algunos coches autónomos en pruebas. Según datos de la empresa española Eurocybcar especializada en realizar test de ciberseguridad en vehículos, desde 2012 se han documentado ataques a modelos de más de 43 marcas en todo el mundo, que comprometieron la privacidad de las personas que viajaban a bordo de esos vehículos e, incluso, supusieron un peligro para su vida. Un hacker, desde la distancia, puede manipular el aire acondicionado, los limpiaparabrisas, el equipo de audio… y lo que es peor, los frenos, la transmisión y el motor.
¿Qué tipo de coche electrificado me interesa comprar? ¿Híbrido, eléctrico, mild hybrid…?
Tecnologías que pueden ser ‘hackeadas’
Bluetooth, llamada de emergencia e-Call, airbags… Esto podrían hacer los ciberdelincuentes:
- Bluetooth: chantajearte, suplantar tu identidad, acosarte.
- Llamada de emergencia e-Call: impedir que te asistan tras sufrir un accidente.
- Airbags: activarlos o desactivarlos a distancia.
- Llave inteligente: robarte el coche o ‘encerrarte’ dentro de él.
- WiFi: espiarte, chantajearte o suplantar tu identidad.
- GPS: pueden manipularlo con intención de secuestrarte, espiarte o chantajearte.
- Radio-RDS: dar información falsa.
Según nos cuenta Azucena Hernández, CEO en Eurocybcar, se prevé que para el año 2023 circulen por el mundo 775 millones de coches conectados. «Los vehículos autónomos, que equipan un software más complejo, también van a ir en aumento: se estima que en 2026 circularán 50 millones de automóviles sin conductor», explica. Hasta ahora, los diversos gobiernos y organismos reguladores de todo el mundo habían creado normativas que garantizasen la seguridad física de los vehículos y sus pasajeros, pero la ciberseguridad había quedado fuera de esos marcos reguladores. Esto ha cambiado desde el 1 de enero de 2021. ¿La razón? Ha entrado en vigor una normativa que obliga a que los vehículos tengan un certificado de ciberseguridad, el reglamento WP.29/2020/79. (Puedes consultar el texto completo aquí)
Coches ciberseguros en Europa, ¿cuándo?
Consciente de los riesgos de ciberseguridad de los vehículos, el Foro Mundial de UNECE para la Armonización de las Regulaciones de Vehículos -conocido como UNECE WP.29- aprobó, el 23 de junio de 2020, el reglamento UNECE/TRANS/WP.29/2020/79. Esta normativa exigirá que los vehículos cuenten con un certificado que acredite que están protegidos frente a ciberataques. En la Unión Europea este reglamento será obligatorio para:
- Todos los vehículos -coches, autobuses, camiones, furgonetas y remolques- de nueva homologación a partir del 1 de julio de 2022.
- Todos los vehículos nuevos a partir del 1 de julio del 2024.
¿En qué consiste este certificado de ciberseguridad?
Los fabricantes deberán establecer los procesos necesarios para:
- Identificar y gestionar los riesgos de ciberseguridad en el diseño de vehículos.
- Verificar que se gestionen los riesgos, incluidas las pruebas.
- Asegurar que las evaluaciones de riesgos se mantengan actualizadas.
- Monitorizar los ciberataques y que se responda efectivamente a ellos.
- Analizar los ataques exitosos o intentos de ataque.
- Evaluar si las medidas de ciberseguridad siguen siendo efectivas a la luz de las nuevas amenazas y vulnerabilidades.
Carreteras verdes, seguras y conectadas: 12 medidas para hacerlas realidad
Para cumplir con la normativa, los fabricantes tendrán que crear un sistema de gestión de ciberseguridad (CSMS) para sus vehículos durante todo su ciclo de vida, desarrollo, producción y posproducción, e incluir protecciones en cada una de esas fases contra 70 amenazas de ciberseguridad específicas: amenazas relacionadas con los servidores, con los canales de comunicación que utiliza el vehículo para conectarse con su entorno, con conectividad externa, datos o códigos del vehículo, procedimientos de actualización de los vehículos, acciones humanas no intencionadas, etc.
Será una entidad técnica externa al fabricante quien acredite que el vehículo cumple con la nueva normativa de ciberseguridad. El certificado de cumplimiento tendrá una validad de tres años máximo a partir de la fecha de entrega. Cuando la validez del certificado esté próxima a finalizar, se deberá solicitar un nuevo certificado de cumplimiento -si ha habido cambios en el reglamento-, o extender la validez del anterior por un período adicional de tres años.
Todos los coches con etiqueta eco y cero a la venta en España. ¿Cuál buscas?
Se trata, por tanto, de una normativa muy ambiciosa para la Unión Europea, que cerrará el mercado a vehículos que no sean ciberseguros. Corea del Sur y Japón también han confirmado su aplicación y el resto de los 56 estados de la UNECE -menos Canadá y EEUU-, también tendrán que adoptar esta normativa.
España podría ser la punta de lanza para realizar tests de ciberseguridad para Europa y el resto del mundo gracias a la empresa tecnológica Eurocybcar. Esta empresa española, cuyo laboratorio está situado en Vitoria-Gasteiz, es pionera en la protección de los vehículos frente a los ciberdelincuentes y cuenta con el apoyo del Centro Vasco de Ciberseguridad -BCSC-.
