Hackean autos conectados usando solo la patente

Una patente, siete pasos y las puertas abiertas

Un investigador de seguridad logró desbloquear y encender de forma remota cualquier vehículo de una gran automotriz en Australia conociendo solo la patente. Lo hizo encadenando siete fallos distintos —desde claves de API hardcodeadas en un bundle de JavaScript hasta un bypass de autenticación multifactor— sin tocar nunca el hardware del auto.

Para cualquier founder que construye producto sobre APIs, identidad y dispositivos conectados, el caso es una clase magistral de cómo se rompe un sistema: no por el eslabón más sofisticado, sino por el más descuidado.

El autor del análisis, que firma como Shubs, publicó el detalle en su blog. La investigación la hizo junto a Sam Curry, un nombre conocido en el mundo del hacking automotriz.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Cómo se construyó la cadena de ataque

El punto de partida fue una pregunta simple: ¿con qué infraestructura habla la app cuando desbloqueo mi auto de forma remota?

Para responderla, Shubs descargó el APK de la aplicación y lo decompiló. Así reconstruyó las llamadas a la API y llegó a un dominio de telemetría bajo el cual vivía todo el ecosistema: la app de consumo, entornos de staging, QA y una herramienta de administración.

Esa herramienta de administración resultó ser la joya. Su bundle de JavaScript se servía completo incluso en la pantalla de login, y dentro había claves de API hardcodeadas que permitían consultar cuentas de usuarios y vehículos de producción con muy pocas restricciones. No hacía falta autenticarse: bastaba con leer el código.

Con eso, la cadena en Australia quedó así:

Patente a VIN: los sitios de registro vehicular de los estados australianos permiten obtener el número de identificación del vehículo a partir de la patente. No es un fallo de seguridad: es información pública por diseño.
VIN a GUID del suscriptor: una API interna devolvía el identificador del cliente asociado al vehículo.
GUID a datos personales: el endpoint de cuenta entregaba el correo del usuario registrado en la plataforma de identidad.
Credenciales de administrador: un bundle de JavaScript de un proveedor embebía credenciales de administrador del sistema de identidad ForgeRock OpenIDM. Estaban pensadas para el entorno de staging, pero el equipo asumió que funcionarían en producción. Funcionaron.
Bypass del WAF: el fabricante había blindado las rutas /openidm/* con reglas de WAF. Los investigadores encontraron que la ruta /static%2f..%2fopenidm/ no estaba cubierta.
Salto del MFA: una mala configuración del entorno australiano permitía obtener un token con el flujo de Resource Owner Password Credentials y canjearlo por un token de la app móvil, sin pasar por el segundo factor.
Comando remoto: con ese token, la API de comandos aceptaba órdenes como door-unlock.

El resultado: control remoto de cualquier vehículo de las dos marcas de la automotriz en Australia, con solo conocer la patente.

El eslabón que nadie mira: la capa de identidad

Lo más incómodo del caso es dónde estaba la fragilidad. No en el auto, ni en el módulo de conectividad, ni en el protocolo de la llave digital. Estaba en el sistema de gestión de identidades.

Los investigadores dedicaron dos semanas a entender cómo la automotriz emite y valida tokens. Una vez que consiguieron acuñar un token válido para cualquier usuario, el resto fue trivial: la API de comandos no distingue entre el dueño del auto y quien presenta un token legítimo.

Ese es el patrón que se repite en casi todos los productos conectados. La autenticación se trata como una casilla que se marca al principio del proyecto y no como la superficie de ataque principal.

Vale la pena notar un detalle técnico: para saltar el WAF, los investigadores recurrieron a un modelo de lenguaje que pasó unas seis horas buscando combinaciones de rutas hasta dar con la que no estaba cubierta. La lección no es usar IA para hackear, sino que un control perimetral mal implementado se agota por fuerza bruta. El WAF no era una defensa, era un parche sobre un activo que no debería estar expuesto a internet.

Qué dice esto sobre la industria

Este no es un caso aislado. En 2023, el propio Sam Curry y un equipo de investigadores documentaron al menos 20 vulnerabilidades en las APIs de fabricantes como Ford, Toyota, Mercedes, BMW, Porsche y Ferrari, según reportó CyberScoop. En varios casos, tener el VIN de un vehículo bastaba para tomar el control de la cuenta del propietario y ejecutar comandos remotos en modelos de Kia, Honda, Infiniti, Nissan y Acura.

Encontrábamos una vulnerabilidad en una automotriz, la reportábamos, y nos cambiábamos a otra y era exactamente lo mismo, dijo Curry a CyberScoop.

Ted Miracco, CEO de la firma de seguridad Approov, apuntó en ese mismo artículo a la causa de fondo: la industria se apresuró a lanzar aplicaciones con mucha funcionalidad y ese apuro está pasando factura. Buena parte del problema, dijo, es la dependencia de APIs de terceros: una sola app móvil puede hacer docenas de llamadas a APIs distintas.

El antecedente más famoso sigue siendo la demostración de Andy Greenberg en 2015, cuando hackers tomaron el control de un Jeep Cherokee mientras conducía. Más de una década después, el vector cambió del bus interno del vehículo al endpoint de identidad, pero el resultado es el mismo.

¿Qué significa esto para tu startup?

Si tu producto tiene una app móvil, usuarios, dispositivos y una API, este caso te aplica directamente. Cuatro cosas concretas para revisar esta semana:

Audita tus bundles de JavaScript. Si tu frontend se sirve completo antes del login, asume que cualquiera puede leerlo. Busca claves de API, credenciales de staging, URLs internas y nombres de endpoints. Todo lo que esté ahí es público.
Separa los entornos de verdad. Credenciales de staging que funcionan en producción son el hallazgo más común de cualquier pentest. Verifica que las claves de tu entorno de pruebas no tengan validez en el entorno real.
Trata la identidad como superficie de ataque. El MFA no sirve si existe un flujo alternativo que lo salta. Revisa todos los grants de OAuth que tienes habilitados y elimina los que no uses. El flujo de Resource Owner Password Credentials, en particular, es un atajo que rara vez vale el riesgo.
No confundas WAF con seguridad. Un WAF bloquea rutas conocidas. Si el activo no debería estar expuesto a internet, la solución es sacarlo, no protegerlo.

Para los founders de LATAM y España que construyen hardware conectado o IoT, hay un matiz adicional: la presión por lanzar rápido suele llevar a exponer paneles de administración de forma temporal. Ese temporalmente es el que aparece en los reportes de vulnerabilidades tres años después.

Un recordatorio sobre el bug bounty

Los investigadores aclararon que probaron todo sobre vehículos que ellos mismos poseían o para los que tenían permiso explícito. Es la línea que separa la investigación de seguridad del delito, y vale la pena tenerla clara antes de que alguien de tu equipo se entusiasme con probar el sistema de un tercero.

También vale la pena mirar hacia adentro: ¿tienes un canal claro para que alguien reporte una vulnerabilidad en tu producto? En 2023, Curry señaló que la mayoría de las automotrices no tenía ningún programa de bug bounty. Un investigador sin canal de reporte tiene dos opciones: publicarlo o venderlo. Ninguna de las dos te conviene.