José Carlos Norte es un investigador informático que busca errores en sistemas de seguridad con la intención de notificarlos a la entidad responsable de dicho sistema. Pues bien, desde El Confidencial nos llega la noticia de que hace poco ha descubierto un fallo en los sistemas de los camiones que afectan al sistema eléctrico del mismo y permite ejecutar acciones a distancia sobre el vehículo.
Lo peor de todo es que este mismo sistema es compartido por camiones, taxis, autobuses y demás vehículos que reciben órdenes de una central y pertenecen a una flota. Desde este punto de vista, alguien con los conocimientos adecuados podría saber desde cualquier parte dónde está un camión y apagarlo o enviarlo adonde le apeteciese.
José Carlos Norte trabaja para la empresa EyeOS, y es el jefe de tecnología de la misma, la cual se dedica a desarrollar escritorios virtuales. El hombre dedica parte de su tiempo a investigaciones de seguridad informática, y el hecho de que un amigo suyo sea propietario de un camión es lo que le ha llevado a embarcarse en esta de la que hablamos.
¿Cómo lo consigue?
Los camiones tienen instalado un sistema que se llama TGU, que son las siglas en inglés de lo que en español sería una Unidad Telemática de Puerta de Enlace. Como decimos, los vehículos que pertenecen a una flota como parte de una empresa o servicio suelen estar conectados a la central mediante un sistema como este.
Como además del TGU los camiones llevan una antena 3G, lo que José Carlos hizo fue acceder a Shodan, una base de datos pública que registra todas las conexiones que se realizan a Internet, concretamente la dirección IP. Como todos los dispositivos con conexión a la red tienen IP –los TGU también– y es una dirección física que indica dónde se encuentra la puerta de entrada, leyendo manuales descubrió que la marca C4max, que vende en España, Francia y Marruecos, no usaba contraseña para proteger el acceso de sus TGU, y solo tuvo que encontrarla en Shodan.
Aparecieron cientos de camiones, algunos en la M-30, otros volviendo del Eroski… los localizaba utilizando Google Maps, asegura José Carlos.
No es fácil saber cuántos camiones pueden estar afectados ya que, como es lógico, el 3G se activa solo cuando el camión está encendido. Él vio 800 afectados en su momento en Shodan, pero pueden llegar a ser miles de ellos, dependiendo de un dispositivo que está conectado a Internet sin protección, accesible a cualquiera –que sepa acceder, claro–.
Un tema difícil de tratar
No es fácil para José Carlos lidiar con este tema, que ha publicado en su blog sin aviso previo a la compañía, ya que se han dado casos en los que se ha denunciado al hacker por extorsión, ya que no hay un marco legal que proteja a quien quiere ayudar en este aspecto. En lugar de eso, ha preferido compartirlo en redes para hacer ruido y generar debate al respecto.
Además de todo esto, asegura que este es el caso más llamativo, pero que no es el único. Afirma que la seguridad de los TGU de otras compañías deja tanto o más que desear, con contraseñas por defecto entre otras cosas fáciles de burlar. Lo peor es que al ir estos aparatos integrados en el camión, es muy difícil llevar a cabo actualizaciones que garanticen la seguridad informática del camión.
Cosas como esta nos llevan a pensar en las posibilidades que tendría alguien que se consiga colar en un dispositivo como este. Desde redirigir un camión a un solar en el que asaltar su mercancía, hasta hacer lo propio con la limusina de una empresa en la que pueda ir alguien de peso en la sociedad, pasando por provocar un accidente en mitad de una autopista.
El estado de su seguridad ya es malo, porque son dispositivos del siglo pasado, de uan industria no preparada para hoy en día, pero además van y los conectan a Internet, declaraba José Carlos en una entrevista.
Veremos cómo termina esto, pero lo que sí es seguro es que se ha abierto una carrera entre hackers y compañías de vehículos que usan TGU, esperemos que no les llame tanto la atención para no acabar con camiones descontrolados o asaltos varios. Lo que sí podemos deducir de esto es que quizás esos vídeos impactantes en los que se mueven solos puede que tengan una explicación.
