¿Fallas de ciberseguridad en los autobuses noruegos Yutong?

Según Ruter, el acceso digital a los sistemas de control para actualizaciones de software y diagnósticos podría, en teoría, permitir manipular a distancia 850 autobuses Yutong en Noruega. La declaración del operador sigue siendo deliberadamente objetiva, limitándose a señalar que el fabricante chino "tiene acceso digital a los sistemas de control para actualizaciones de software y diagnósticos".

Ruter añade: "En teoría, esto podría aprovecharse para influir en el autobús", y subraya que "las cámaras de los autobuses no están conectadas a Internet: no hay riesgo de transmisión de imágenes o vídeos desde los autobuses".

En otras palabras, el asunto se refiere a una conexión remota teóricamente posible, necesaria para realizar actualizaciones de software por aire. Posiblemente debido a que Yutong es una empresa china, algunos medios de comunicación han informado de la historia en un tono menos neutral que la propia Ruter. Un medio alemán afirma incluso que "la investigación demostró que 850 autobuses Yutong en Noruega podían ser controlados a distancia e incluso detenidos por completo desde China".

De hecho, la prueba tuvo lugar durante el verano "en un entorno aislado dentro de una montaña" -una mina en desuso- para evitar cualquier posible conexión a la red móvil e interferencia externa. El análisis reveló que Yutong tenía acceso externo a la batería y al sistema de gestión de energía, concretamente a través de una tarjeta SIM rumana. Esto significa que el fabricante podía -al menos teóricamente- inutilizar un autobús a distancia. Una prueba paralela en un autobús eléctrico de tres años de antigüedad de VDL mostró mejores resultados, ya que el vehículo no admite actualizaciones por aire y, por tanto, no tiene puntos de acceso externos. Sin embargo, tampoco puede recibir actualizaciones de software inalámbricas.

Ruter también señaló que los sistemas del autobús Yutong estaban "escasamente integrados", lo que significa que no estaban especialmente bien ocultos, como cabría esperar si se pretendiera instalar una puerta trasera oculta para su desactivación a distancia.

El autobús sólo tiene un punto de acceso a las funciones críticas. "Esto facilita su aislamiento del mundo exterior. También podemos retrasar las señales enviadas al bus para revisar las actualizaciones antes de que lleguen a él. Estos mecanismos se están implementando actualmente", declaró Ruter. Los expertos en seguridad descubrieron vulnerabilidades en una plataforma china de actualización de software utilizada por Yutong, entre otros. "Las vulnerabilidades han sido comunicadas al proveedor de la plataforma y ya han sido corregidas", declaró el operador.

"Esta prueba exhaustiva y única nos permite equipar los autobuses con la protección adecuada. El transporte público de Oslo y Akershus debe contar con la tecnología más avanzada y la máxima seguridad", declaró Bernt Reitan Jenssen, director general de Ruter. "Tras estas pruebas, las preocupaciones de Ruter se han convertido en conocimientos concretos sobre cómo podemos implantar sistemas de seguridad que nos protejan de actividades no deseadas o intentos de pirateo en los sistemas informáticos de los autobuses".

Ruter se ha reunido con el Ministerio de Transportes y Comunicaciones, que "quiere trabajar con nosotros para encontrar una solución". La empresa planea endurecer los requisitos de seguridad para futuras contrataciones, desarrollar sus propios cortafuegos "para garantizar el control local y protegerse contra la piratería informática", y cooperar con las autoridades locales y nacionales para establecer normas claras de ciberseguridad.

"Los autobuses tienen actualmente el mismo nivel de funcionalidad que los turismos desde 2016. Es cierto que a medida que se generalizan los sistemas autónomos y de asistencia al conductor, el riesgo aumenta si no se toman medidas con antelación", declaró la empresa.

ruter.no (declaración en noruego), autobuses sostenibles.es

Este artículo fue publicado por primera vez por Sebastian Schaal para la edición alemana de electrive