Investigador descubre fallos de seguridad en portal de fabricante de coches
Un hacker podría desbloquear vehículos y acceder a datos personales de forma remota. Eaton Zveare, experto en ciberseguridad, halló vulnerabilidades en un sistema interno de una marca automovilística no revelada. Los fallos permitían crear cuentas administrativas con acceso ilimitado.
«Puertas abiertas a datos privados y controles del vehículo»
Zveare, investigador de la empresa Harness, descubrió que los errores en el portal de concesionarios permitían eludir los controles de autenticación. «Podías modificar el código desde el navegador para crear una cuenta de administrador nacional», explicó a TechCrunch. Este acceso daba control sobre más de 1.000 concesionarios en EE.UU., incluyendo información financiera, datos de clientes y funciones remotas de los coches.
Herramientas de acceso crítico
El portal incluía un buscador de consumidores que permitía localizar dueños de vehículos solo con su nombre o matrícula. Zveare demostró que, con estos datos, un atacante podía vincular cualquier coche a una cuenta móvil falsa y desbloquearlo remotamente. «Solo requería una declaración de legitimidad, sin verificación real», detalló.
Riesgo de suplantación y seguimiento
El sistema también permitía suplantar a otros usuarios y acceder a plataformas vinculadas mediante un único inicio de sesión. Zveare comparó esta función con una vulnerabilidad similar hallada en Toyota en 2023. Además, el portal mostraba la ubicación en tiempo real de vehículos en tránsito o alquilados, aunque no se probó su manipulación.
Conectores peligrosos
Los fallos, corregidos en febrero de 2025 tras el informe de Zveare, expusieron durante meses datos sensibles de clientes y concesionarios. El investigador destacó que eran vulnerabilidades «simples» en la autenticación, pero con consecuencias graves. La marca afectada, aunque no fue nombrada, confirmó que no hubo explotación previa.
¿Quién vigila al vigilante?
Zveare presentará sus hallazgos en la conferencia Def Con de Las Vegas, poniendo el foco en la seguridad de los sistemas internos de las automotrices. Aunque los fallos ya están solucionados, el caso revela riesgos latentes en plataformas con acceso a datos críticos y controles remotos.
