Ataques a distancia: el 92% ya no necesita tocar tu coche

Durante años, la idea de «hackear un coche» sonaba a película: alguien con un portátil, un cable y tiempo. Pero el 2026 Global Automotive & Smart Mobility Cybersecurity Report (Upstream Security) pinta otra realidad: en 2025, el 92% de los incidentes fueron remotos. Es decir, a distancia. Y dentro de esos ataques remotos, la mayoría fueron de largo alcance (86%), los más peligrosos por una razón: pueden escalar.

El coche moderno, más conectado y vulnerable

¿Por qué ahora se ataca así? Porque el coche moderno ya no vive «solo». Está conectado a servidores de telemática, a apps móviles, a APIs (las interfaces que hacen de puente), a servicios de terceros (atención al cliente, seguros, flotas, recarga eléctrica) y a actualizaciones OTA. Si un atacante encuentra una puerta débil en ese ecosistema, puede llegar a miles de coches con el mismo golpe.

El propio informe resume el cambio de foco: el backend y la nube son el nuevo centro de gravedad. No es casualidad que, en 2025, los incidentes que afectaron a servidores backend fueran el vector dominante (Upstream lo cifra como el más frecuente), y que los ataques por API se mantuvieran como un método habitual. Las APIs son especialmente críticas porque convierten una solicitud «digital» en una acción real: abrir, cerrar, arrancar, localizar, gestionar usuarios, activar servicios.

Ejemplos concretos de ataques remotos

El informe recoge ejemplos muy concretos. Uno especialmente ilustrativo describe cómo investigadores explotaron una cadena que empezaba en un entorno de un contratista (una aplicación expuesta con un fallo grave), y desde ahí pivotaron hasta la infraestructura telemática de un fabricante. Según Upstream, el escenario permitía subir firmware malicioso a la TCU (la unidad telemática) y, una vez dentro, influir en funciones del vehículo a través del bus interno. La idea clave para el usuario es sencilla: un problema «de oficina» o de un proveedor puede terminar afectando al coche.

También hay impactos «menos hollywoodienses» pero igual de reales: caídas de servicios, pérdida temporal de conectividad o incluso vehículos afectados por interrupciones de sistemas telemáticos regionales. Upstream menciona un caso en el que una interferencia no autorizada en infraestructura backend se asoció a apagados de motor y a una inmovilización vinculada a la pérdida de conectividad de un módulo de rastreo/alarma en un mercado concreto.

¿Cómo proteger tu coche?

¿Qué puede hacer el usuario? No existe el «antivirus del coche» al estilo PC, pero sí hábitos: mantener el software actualizado, desconfiar de enlaces y QR «raros» en pantalla (sí, el informe menciona investigaciones de phishing vía infotainment), usar contraseñas fuertes en la cuenta de la marca, activar 2FA si existe, y revisar quién tiene acceso a tu coche (usuarios autorizados, llaves digitales, servicios). En 2026, la defensa empieza por entender esto: tu coche es una cuenta… y esa cuenta puede ser atacada.