Hace unos días, vimos cómo Repsol era víctima de robo de datos de miles de consumidores tas un acceso no autorizado a sus servicios informáticos, aunque finalmente se pudo identificar y gestionar este imprevisto a tiempo. Esto relata la facilidad que tienen los malhechores de entrar a sus anchas a cualquier servidor sin que nadie se dé cuenta en ese instante.

Otro de los ejemplos recientes que han salido a la luz es el de Kia. Y es que el pasado 11 de junio, los trabajadores de la firma de coches surcoreana recibieron un aviso sobre una brecha de seguridad en portal de la web que exponía los datos de matrículas de vehículos fabricados a partir de 2013, de tal forma que los hackers podrían llegar a obtener información sensible, como el nombre del propietario, números de teléfono, dirección de correo electrónico, cuentas bancarias o contraseñas. Y es que este hecho podría haber acarreado numerosos problemas a la compañía e incluso haber terminado con su reputación. De haberse percatado de esta vulnerable situación, los atacantes se hubiesen dado un buen festín.

Así es cómo los ciberdelincuentes roban millones de datos

El investigador de seguridad, Sam Curry, ha querido ofrecer su visión sobre lo ocurrido con Kia, ya que ha sido partícipe de otras fallas críticas que se han encontrado en más concesionarios. Ferrari, BMW, Rolls Royce o Porsche fueron las últimas en convertirse en posibles compañías damnificadas por actos vandálicos tras mostrar debilidades en sus sistemas.

Asimismo, Curry desvela que con Kia ha pasado algo similar, hasta el punto de que los hackers podrían haberse agregado ellos mismos como usuarios de los vehículos para habilitar su acceso a todos los datos del cliente. ¿Y cómo hubiese sido posible?

El equipo de investigación creó una herramienta capaz de mostrar cómo un atacante ingresa la matrícula de un vehículo y, en tan solo 30 segundos, logra desbloquear el control del mismo, así como arrancarlo, parar el motor, tocar el claxon o encontrar su ubicación. Para ello, registraron una cuenta de distribuidos en el portal kiaconnect.kdealer.com. Cuando se identificaron, generaron un token de acceso válido para poder entrar en las API de la marca y así rastrear cualquier dato del coche.

Afortunadamente, este suceso no llego a ocurrir y ninguno de los clientes salió perjudicado, ya que esos errores que se produjeron en el sitio web de Kia fueron solventados. Sin embargo, este no es más que un toque de atención para conocer la gran astucia de los ciberdelincuentes sobre cuáles son los mecanismos que utilizan con el objetivo de adentrarse en los muros de defensa de cualquier compañía.