La brecha de datos de Volkswagen va a cambiar los procedimientos de las marcas de coches
Si las firmas europeas quieren seguir teniendo peso en el mercado, no pueden permitirse este tipo de derrapes
Volkswagen. | Archivo
Esta vez han tenido suerte. La brecha de seguridad, hasta donde se sabe, ha caído en manos sin malas intenciones, y Volkswagen ha reaccionado con velocidad y diligencia. Pero el acceso a los datos de cientos de miles de coches del grupo alemán podía haber tenido consecuencias mucho peores.
Un ejemplo es el de Nadja Weippert. Cada vez que arranca su ID.3 eléctrico, su coche y la app asociada comienzan a recaudar datos. Hora de puesta en marcha, dónde ha pasado la noche aparcado, a donde va, si ha rellenado su batería y donde, o si ha sido en su casa o en un cargador público, por poner unos cuantos ejemplos.
Pueden parecer datos sin excesivo valor, pero el asunto se torna en algo más delicado cuando se sabe que se trata de una diputada de Los Verdes en el parlamento de Baja Sajonia. No solo eso, sino que también es alcaldesa de Tostedt, municipio situado entre Hamburgo y Bremen.
La primera edil de este pueblo de 14.000 habitantes solía aparcar su coche frente al ayuntamiento, y cerca del parlamento cuando acudía a las sesiones. Pero los hackers dieron con otras localizaciones frecuentes como una panadería, un club deportivo, o su fisioterapeuta, entre otros.
Weippert es una buena conocedora de lo relacionado con la protección de datos, y se echó las manos a la cabeza cuando supo que unos chicos habían accedido a todo lo que su coche había recolectado. Los jóvenes dieron la voz de alarma tras contactar con un conocido grupo de hackers blancos —sin malas intenciones— llamado el Chaos Computer Club. Son bien conocidos, y se dedican a inspeccionar webs y sistemas accesibles hasta dar con agujeros de seguridad.
Los chicos encontraron una puerta abierta de par en par a través de un acceso oculto, pero con el que se podía dar con conocimientos sencillos si se sabe donde buscar. Una vez dentro del sistema pudieron descargarse diez terabytes de información relativa a quince millones de clientes de la firma, y en especial, datos procedentes de 460.000 coches eléctricos de las marcas Volkswagen, Skoda, Audi y Seat.
Si de los vehículos térmicos y anteriores a la instauración de la filial de software Cariad había abundantes datos, de los eléctricos y de última generación había de todo. Desde la temperatura de las baterías, hasta registros relacionados con la geolocalización. Y es aquí donde el asunto da un giro más peliagudo.
Entre los datos recopilados, el Chaos Computer Club ha encontrado pautas recurrentes de coches de las citadas marcas entrando y saliendo de dos lugares muy sensibles: los aparcamientos del Servicio Federal de Inteligencia Alemán (BND) y de la base de la Fuerza Aérea de Estados Unidos en Ramstein.
Es el caso de Markus Grübel, diputado de la CDU por Esslingen am Neckar. En el rastro de migas de pan binario que dejó su coche, se podía observar que visitaba a su padre en una residencia, se podían seguir sus vacaciones en Allgäu a primeros de año, y con frecuencia pasaba por un cuartel militar. Grübel es miembro de la Comisión de Defensa y fue secretario de Estado en el Ministerio de Defensa hasta 2018; un cargo de especial sensibilidad ante el actual panorama bélico y conflictivo.
La flota policial también accesible
Estos serían los casos más extremos, pero a base de relacionar matrículas, registros, emails u otros datos, se ha dado con administradores públicos, miembros de consejos de administración de empresas del DAX, y a diversas autoridades policiales de ámbito europeo. Un ejemplo es el de los movimientos de treinta y cinco coches patrulla eléctricos pertenecientes a la policía de Hamburgo.
Con un error de hasta 10 centímetros, los vehículos se pueden seguir, y con ello a sus conductores, un material de primera para alborotadores, terroristas, enemigos políticos, o servicios secretos de países en conflicto. También para parejas celosas, maltratadores, acosadores, deudores, etc. Volkswagen ha tenido suerte porque, a pesar del ruido y la polvareda levantada, no se tiene constancia de que haya llegado más allá de personas bienintencionadas, reaccionaron con premura, y aplicaron los parches de seguridad relacionados.
Un equipo de expertos informáticos de Der Spiegel —fuente de muchos de estos detalles—, pudo identificar sin demasiados problemas la vulnerabilidad; servicios de inteligencia, competidores o grupos de delincuentes lo hubiera encontrado con mucha facilidad. Todo estaba al descubierto. No se necesitaron más que unos pocos programas informáticos gratuitos, herramientas habituales para hackers criminales y los expertos en seguridad informática que les hacen frente. Su conclusión fue que este tipo de archivos de no deberían estar expuestos en Internet, o al menos no sin protección por contraseña.
Un revolcón, una oportunidad
El siguiente paso debería ser aprender de la experiencia, y recomponer la filosofía. Si resulta necesario recopilar todos esos datos por cuestiones técnicas, hay que levantar barreras anonimizantes, aislar los datos de sus propietarios y generadores, y guardarlos en bases propias y no ajenas.
Si tienes un correo en Gmail, Google tiene acceso a él. Lo mismo ocurre con lo que almacenen las nubes de Apple, Amazon, o IBM, así que el siguiente paso debería ser la creación de tu propio centro de datos para huir de prestadores de servicios y proveedores ajenos. Por defecto, los relacionados con los coches del grupo Volkswagen se alojan en servidores de Amazon.
La fundación sin ánimo de lucro Mozilla, conocida por su navegador Firefox, analizó las prácticas de 25 marcas de automóviles en 2023. Su conclusión fue todas recopilaban más datos de los necesarios. Lo peor no es que tres de cada cuatro declarasen que podían venderlos, sino que en los tres años previos, el 68 % de ellas reseñó incidentes relacionados con la seguridad o filtraciones de datos.
Nuevas regulaciones que vienen de camino
Es una de las razones por las que la Unión Europea ha tomado cartas en el asunto y dispondrá en otoño de 2025 la nueva Ley de Datos. Bruselas ha decidido que los propietarios de los vehículos tengan más control sobre lo que los coches de su ciudadanía genera. En el futuro, los fabricantes deberán ofrecer un acceso sencillo y gratuito a sus propios datos, y hacer así más transparentes sus prácticas.
Durante décadas fueron los motores y la excelencia mecánica lo que hizo sobresalir a los automóviles europeos ante el resto; de un tiempo a esta parte el software se ha ido adueñando de ese espacio. Si las marcas del viejo continente quieren seguir teniendo peso en el mercado, no pueden permitirse este tipo de derrapes. Si para correr es necesaria mucha potencia, para los datos han de echar no un freno, sino un ancla como el de un portaaviones nuclear. Más les vale.
