Así hackean tu coche conectado a través de tu matrícula

¿Te imaginas que alguien, desde su casa y con solo teclear tu matrícula en Google, pueda controlar tu coche como si fuera suyo? No es ciencia ficción, es la alarmante realidad que destapan los analistas globales en ciberseguridad aplicada a la movilidad. Las denominadas APIs —puentes digitales que conectan apps, servidores y sistemas internos del vehículo— se han convertido en el talón de Aquiles de la automoción. Y las consecuencias pueden ser muy peligrosas.

El caso real que hizo saltar todas las alarmas

En 2024, un grupo de investigadores logró explotar una vulnerabilidad en la API de un importante fabricante asiático. La matrícula de cualquier coche es visible para cualquiera en la calle o en una simple foto online. Pero lo grave llega después: hoy existen páginas web y servicios que, introduciendo esa matrícula, te devuelven en segundos el VIN (Número de Identificación del Vehículo), un dato que debería ser confidencial y exclusivo del propietario. Estos servicios recopilan información de registros públicos, talleres, aseguradoras… Así, el atacante solo tiene que buscar la matrícula en internet, convertirla en VIN con un par de clics y ya tiene en sus manos la «llave digital» para acceder a la API vulnerable del fabricante a través de un exploit -fragmento de código o técnica que aprovecha una vulnerabilidad en un sistema informático, aplicación o dispositivo para alterar su comportamiento normal- y controlar el coche de forma remota, sin que el usuario sospeche nada.

El resultado es que el hacker podrá abrir puertas, arrancar el motor, rastrear la ubicación, acceder a datos personales del propietario y hasta modificar permisos de acceso… Este grupo de investigadores demostró incluso cómo podían crear una «app de hacker» con opciones para manejar toda una flota de coches ajenos.

Una grieta digital que puede afectar a miles de usuarios

Este tipo de vulnerabilidades no son casos aislados. Con la carrera por digitalizar los vehículos y la proliferación de apps de control remoto, recarga, climatización o localización, la exposición es cada vez mayor. Las APIs, si no están correctamente protegidas, pueden permitir ataques masivos a escala global.

El mayor peligro no es solo el robo de información personal —nombres, emails, teléfonos, historial de trayectos— sino el control directo sobre tu coche: abrirlo, arrancarlo, bloquearlo, seguirte o, en el peor de los casos, sabotear sistemas mientras conduces. En el caso documentado, el fabricante actuó rápidamente tras el aviso de los investigadores y solucionó el agujero. Pero los expertos advierten: la presión por sacar nuevas funciones y apps deja muchas APIs inseguras, sin auditorías ni sistemas de alerta.