Ciberseguridad en autos eléctricos conectados: los riesgos reales de un vehículo hiperconectado

Un auto eléctrico moderno no es solo un vehículo: es una computadora con ruedas, permanentemente conectada a internet, que recibe actualizaciones de software, se comunica con estaciones de carga inteligentes y aloja aplicaciones móviles de control remoto. Esa misma conectividad que habilita funciones convenientes también abre una superficie de ataque que la industria automotriz recién está aprendiendo a proteger a la altura del desafío.

Solo en España, más de 15 millones de turismos cuentan con sistemas de conectividad potencialmente vulnerables, lo que significa que más de la mitad del parque automotor del país tiene, en la práctica, puertas digitales abiertas a algún tipo de exposición. Los incidentes relacionados con accesos electrónicos no autorizados a vehículos crecieron cerca de un 40% durante 2025, una señal de que el problema no es teórico sino que ya se está materializando en incidentes reales y crecientes.

Lo que aumenta el riesgo de un vehículo no es ser eléctrico en sí mismo, sino la cantidad de software, conectividad, aplicaciones, actualizaciones, cargadores y servicios digitales asociados que trae consigo. Los autos eléctricos conectados son particularmente vulnerables por su conectividad continua a internet, sus sistemas avanzados de infoentretenimiento, sus aplicaciones para control remoto, sus actualizaciones OTA y su interacción constante con estaciones de carga inteligentes, cada una de las cuales representa un punto adicional de exposición que un auto a combustión convencional simplemente no tiene.

El sistema de acceso sin llave concentra el 47% de los ataques detectados contra vehículos conectados, muy por encima de los servidores del fabricante (17%) y las aplicaciones móviles de control remoto (6%). Esta concentración de riesgo tiene una explicación técnica: los sistemas keyless funcionan emitiendo una señal de radiofrecuencia constante que, con el equipo adecuado, puede ser interceptada y repetida por un atacante para engañar al auto y hacerle creer que la llave legítima está cerca, sin que el dueño real esté presente.

Las amenazas dirigidas específicamente a las interfaces de programación (APIs) que conectan al auto con los servidores del fabricante podrían crecer hasta un 380% hacia 2026, según las proyecciones más recientes del sector. Las APIs son el canal por el cual la aplicación del celular se comunica con el auto para funciones como abrir puertas, iniciar la carga o precalentar el habitáculo de forma remota, lo que las convierte en un objetivo de alto valor si un atacante logra comprometerlas a nivel de servidor en vez de atacar el vehículo individualmente.

• Mantener siempre actualizado el software del vehículo mediante las actualizaciones OTA que ofrece el fabricante, que suelen incluir parches de seguridad.
• Usar una funda bloqueadora de señal (Faraday) para la llave inteligente cuando no se está usando el auto, para evitar la interceptación de la señal de acceso sin llave.
• Revisar los permisos otorgados a la aplicación móvil del auto y desactivar funciones de control remoto que no se usen habitualmente.
• Preferir contraseñas robustas y autenticación de dos factores en la cuenta asociada a la aplicación del vehículo, del mismo modo que se protegería cualquier otra cuenta digital sensible.

Los fabricantes de autos eléctricos invierten cada vez más en equipos internos de ciberseguridad, programas de recompensa por reportar vulnerabilidades (bug bounty) y auditorías externas de sus sistemas conectados, un cambio cultural que la industria automotriz tradicional no necesitaba antes de que el auto se convirtiera en un dispositivo permanentemente conectado. La regulación también avanza: cada vez más mercados exigen certificaciones de ciberseguridad específicas como requisito para homologar un vehículo nuevo antes de su venta.

La normativa UNECE R155, vigente en la Unión Europea, exige a cada fabricante implementar un Sistema de Gestión de Ciberseguridad certificado como condición para homologar un vehículo. Desde julio de 2022, cumplir con este reglamento es obligatorio para obtener la homologación de tipo completo de un vehículo en la UE, y desde julio de 2024 ese requisito se extendió a todos los vehículos nuevos que se vendan en el bloque europeo, incluidos modelos homologados antes de 2022 que todavía se siguen fabricando. Esta regulación se aplica a autos y buses, furgonetas y camiones, e incluso a vehículos con al menos nivel 3 de conducción autónoma.

Aunque la UNECE R155 nació en Europa, su influencia ya se siente en fabricantes que venden en múltiples mercados: dado que resulta más eficiente diseñar un solo sistema de ciberseguridad para toda la producción global que uno distinto por región, buena parte de la industria automotriz terminó adoptando estándares similares a los europeos incluso en países donde todavía no existe una exigencia legal equivalente, extendiendo de facto el nivel de protección exigido por la norma europea a compradores de otros mercados.

Los programas de recompensa por reportar vulnerabilidades (bug bounty) se volvieron una herramienta habitual entre los fabricantes de autos eléctricos más grandes, que pagan a investigadores de seguridad independientes por encontrar y reportar fallas antes de que un atacante malicioso pueda explotarlas, una práctica tomada directamente de la industria del software que la industria automotriz adoptó recién en los últimos años, a medida que la superficie de ataque de un vehículo conectado se volvió comparable a la de cualquier otro dispositivo tecnológico complejo.

Las aseguradoras también empezaron a incorporar la ciberseguridad de un vehículo como un factor más dentro de la evaluación de riesgo de una póliza, de la misma manera en que ya evalúan la seguridad física del auto ante choques: un modelo con antecedentes de vulnerabilidades reportadas y sin parches oportunos por parte del fabricante puede terminar costando más caro de asegurar que uno con un historial de respuesta rápida ante fallas de seguridad detectadas, trasladando así un incentivo económico directo hacia los fabricantes que invierten más en proteger sus vehículos conectados.

La capacitación del propio dueño del vehículo en buenas prácticas básicas de ciberseguridad es, según coinciden varios especialistas del sector, tan importante como la inversión técnica del fabricante: un usuario que reutiliza contraseñas débiles en la aplicación de su auto, o que ignora actualizaciones de seguridad disponibles durante meses, sigue siendo un punto de vulnerabilidad relevante incluso cuando el fabricante hizo bien su parte del trabajo de protección del vehículo.

Las estaciones de carga públicas también representan un vector de ataque específico que preocupa a los especialistas: un cargador comprometido podría, en teoría, intentar acceder a los sistemas del vehículo durante el proceso de carga, lo que llevó a varios fabricantes de infraestructura a reforzar la seguridad de sus propios equipos, no solo la de los autos que se conectan a ellos, entendiendo que la cadena de ciberseguridad es tan fuerte como su eslabón más débil.

Los talleres mecánicos independientes, no autorizados por el fabricante, también deben adaptarse a este nuevo panorama: diagnosticar y reparar un vehículo hiperconectado exige herramientas y capacitación específica en sistemas digitales que va mucho más allá del conocimiento mecánico tradicional, un cambio que está reconfigurando la industria del servicio automotriz independiente en paralelo al crecimiento del parque de autos eléctricos conectados.

Este tema se conecta directamente con otras notas del sitio: Actualizaciones OTA: cómo un auto eléctrico mejora por software después de comprado, Qué es V2V (vehicle-to-vehicle y cómo se relaciona con V2G y V2H y Carga inductiva: la tecnología que permite cargar un auto eléctrico sin cables.

¿Un auto eléctrico es más fácil de hackear que uno a combustión?

No es que sea inherentemente más vulnerable por ser eléctrico, sino que suele tener más sistemas conectados (aplicación móvil, actualizaciones OTA, interacción con cargadores inteligentes) que un auto a combustión convencional, lo que amplía la superficie de ataque disponible.

¿Qué es una funda Faraday y para qué sirve en un auto?

Es un estuche que bloquea la señal de radiofrecuencia de una llave inteligente, evitando que un atacante pueda interceptar y repetir esa señal para acceder al vehículo sin que la llave legítima esté realmente presente.

¿Chile exige alguna certificación de ciberseguridad para homologar autos conectados?

A diferencia de la Unión Europea, Chile todavía no cuenta con una exigencia regulatoria específica de ciberseguridad automotriz equivalente a la UNECE R155, aunque muchos de los vehículos que se venden en el país ya cumplen ese estándar por haber sido diseñados originalmente para el mercado europeo.