Imagen editorial · Acceso remoto a vehículos de dos marcas con la contraseña «admin» · Mirat Haber
Los investigadores de ciberseguridad Shubham Shah y Sam Curry aprovecharon vulnerabilidades en la infraestructura de las aplicaciones móviles de dos marcas de automóviles para desbloquear y arrancar vehículos en pruebas autorizadas en Estados Unidos. Según una información de NTV basada en Anadolu Ajansı, las pruebas realizadas en febrero de 2026 revelaron que el panel de administración aceptaba «admin» como nombre de usuario y contraseña predeterminados. El acceso también permitía consultar la ubicación de los vehículos y utilizar las funciones de control remoto disponibles en la aplicación.
Según el informe de los investigadores, un cortafuegos bloqueaba el acceso directo al panel de administración. Sin embargo, el cortafuegos y el servidor interpretaban de forma distinta una misma dirección web, lo que permitió sortear esa barrera. El panel al que accedieron aceptaba «admin» tanto como nombre de usuario como contraseña.
Las credenciales utilizadas correspondían al panel de administración de la infraestructura, no a la cuenta personal del propietario del vehículo. Tras acceder al servidor, los investigadores cambiaron el correo electrónico y la contraseña de la cuenta de prueba autorizada e iniciaron una nueva sesión en la aplicación móvil.
La guía de seguridad de Ping Identity, propietaria de la plataforma, recomienda eliminar este panel del sistema en producción o protegerlo cambiando las credenciales de acceso. La configuración descrita en el informe, examinada junto con esas recomendaciones de protección, sitúa la seguridad del panel de administración en el centro del incidente. Durante la prueba autorizada, el cambio del correo electrónico y la contraseña de la cuenta no cerró la sesión que el propietario mantenía abierta en su teléfono. Al mismo tiempo, los investigadores pudieron acceder desde su nueva sesión a la ubicación del vehículo y a las funciones de control remoto de la aplicación. Esto demostró que era posible enviar órdenes desde otra sesión de la misma cuenta mientras la del propietario seguía activa.
Shah desbloqueó las puertas y arrancó el motor mientras el propietario se encontraba junto al automóvil. El resultado de la prueba no se limitó al acceso a los datos de la cuenta: también pudieron utilizarse las funciones de la aplicación que actuaban sobre el vehículo. La corrección aplicada tras la notificación incluyó el cierre de la vulnerabilidad probada en el automóvil y la renovación de las credenciales afectadas.
En otro informe, Shah señaló que un sistema en Australia tenía credenciales de administrador creadas para un entorno de pruebas e incrustadas en un archivo JavaScript. Esas mismas credenciales también eran válidas en el sistema que prestaba servicio a los clientes. Mediante este método, los investigadores desbloquearon las puertas de un vehículo en una prueba autorizada. Shah sostiene que ambos estudios, considerados en conjunto, demuestran que era posible enviar órdenes a distancia a vehículos conectados en Estados Unidos, Canadá y Australia. No obstante, el arranque del motor descrito en las pruebas de Estados Unidos y el desbloqueo de puertas probado en Australia figuran como hallazgos separados. Los informes públicos no indican cuándo se corrigió la vulnerabilidad en Australia ni si otras personas, además de los investigadores, utilizaron estos métodos.
No se han revelado los nombres de las dos marcas. Los investigadores no compartieron esa información a petición de las empresas.
Ambos fabricantes corrigieron la vulnerabilidad probada en vehículos en Estados Unidos el mismo día en que se notificó y renovaron las credenciales afectadas. Los informes públicos no indican cuándo se corrigió la otra vulnerabilidad detectada en Australia.
Principales hallazgos de la investigación
Acceso al panel protegido por el cortafuegos
¿Qué cambió para los propietarios de los vehículos?
El hallazgo en Australia se basa en otra vía de acceso
¿Qué se ha revelado y qué sigue sin aclararse?
¿Qué marcas de automóviles están afectadas?
¿Se han corregido todas las vulnerabilidades?
La presidenta de la Comisión Europea, Ursula von der Leyen, anunció financiación para el Centro…
Según Sözcü, Estados Unidos trasladó sus aviones desde la base de Mildenhall, en Inglaterra, por…
La abogada de Tuğyan Ülkem Gülter, condenada a cadena perpetua agravada por la muerte de…
El islam es una fuerza dinámica que contiene elementos tan ennoblecedores que puede transformar una…
La rectitud, además de una buena conducta moral, nos aporta dignidad, honor, honra, reputación y…
Las elecciones en EE. UU. se saldaron con la victoria de los demócratas. Las elecciones…
