Soldados descubrieron imágenes sensibles en las pantallas de los vehículos
Al menos dos autos de alquiler Deepal utilizados durante un ejercicio militar noruego registraron actividades sensibles, como soldados entrando en vehículos, rutas hacia instalaciones militares y códigos para abrir portones o puertas. Las grabaciones se descubrieron durante la Operación Capital, conocida en noruego como Operasjon Hovedstad, en el aeropuerto de Oslo, del 14 al 18 de septiembre.
Contenido
- Soldados descubrieron imágenes sensibles en las pantallas de los vehículos
- Qué captaron las cámaras
- Quién fabricó y suministró los autos
- Por qué Noruega prefiere restricciones para cada instalación
- Más de 200 sensores en un auto moderno
- Los autobuses de Oslo plantearon otro problema de seguridad
- Las aplicaciones de actividad física también han revelado movimientos militares
- La dependencia añade otra capa de vulnerabilidad
- Puntos clave
Soldados de la Guardia Nacional que esperaban dentro de los vehículos encontraron los videos mientras exploraban las pantallas a bordo. Los militares siguieron usando los autos hasta que terminó el ejercicio porque había pocos vehículos de reemplazo. Los soldados borraron las grabaciones después de descubrirlas.
El teniente coronel Per Gunnar Grosberghaugen, portavoz de la Guardia Nacional noruega, confirmó que se habían encontrado grabaciones dentro de los vehículos:
«Sí, soldados de la Guardia Nacional encontraron videos de los sensores de los vehículos almacenados en sus sistemas».
Se desconoce si alguna grabación se transmitió fuera de los autos. Grosberghaugen dijo que no podía descartar que se hubiera compartido con terceros, incluso en China. Hertz Norge, que suministró los vehículos, afirmó que protege la información de sus clientes y cumple la legislación noruega y europea.
El incidente reúne dos problemas prácticos de seguridad: las cámaras de vehículos comunes pueden captar información restringida y el personal militar puede tener pocas alternativas de transporte cuando descubre un problema durante un ejercicio. Las fuerzas armadas de Noruega han dicho que prefieren restricciones adaptadas a cada instalación y a las capacidades de los vehículos, en lugar de una prohibición general de los autos fabricados en China.
Qué captaron las cámaras
El teniente Fredrik Blanck describió grabaciones que mostraban quién entraba y salía de los autos, quién los conducía, adónde viajaban, quiénes eran sus pasajeros y cuánto tiempo permanecían en determinados lugares. Algunas también mostraban a personal introduciendo códigos de acceso en instalaciones militares.
Un código de acceso a un portón es especialmente sensible porque funciona como una llave. Una cámara orientada hacia una entrada puede registrar tanto el lugar como la secuencia que alguien utiliza para entrar. Las grabaciones de llegadas y salidas también pueden revelar rutinas y relacionar a determinadas personas con instalaciones y horarios específicos.
Se describió que las cámaras eran cámaras de tablero estándar que habían permanecido encendidas. Deepal suele promocionar cámaras que ofrecen una vista alrededor del vehículo, aunque no se identificaron los modelos exactos utilizados durante el ejercicio. Estos equipos pueden registrar accidentes de tránsito o ayudar a los conductores a ver su entorno, pero también pueden captar actividades cerca de una entrada restringida.
El hallazgo se hizo público unas tres semanas después del ejercicio. La secuencia principal fue sencilla:
- Del 14 al 18 de septiembre: personal noruego utilizó vehículos de alquiler durante la Operación Capital en el aeropuerto de Oslo.
- Durante el ejercicio: soldados que exploraban los menús de los vehículos descubrieron videos almacenados que contenían imágenes de actividades sensibles.
- Antes de que terminara el ejercicio: el personal borró las grabaciones, pero siguió usando los vehículos porque había pocas alternativas.
- Unas tres semanas después: se hicieron públicos los detalles de las grabaciones, seguidos de la confirmación de la Guardia Nacional.
Quién fabricó y suministró los autos
Changan, una automotriz china controlada por el Estado, fabrica los vehículos Deepal. El proveedor de alquiler fue Hertz Norge, operado por First Rent A Car Norway AS. Volvo Cars controla ese negocio de alquiler y, a su vez, el grupo Geely controla Volvo Cars.
La cadena de propiedad es relevante porque el fabricante y la empresa de alquiler son negocios diferentes. Changan fabricó los autos Deepal. Hertz Norge suministró los vehículos de alquiler a través de una empresa vinculada a Geely. Por lo tanto, estas empresas tienen responsabilidades distintas en cuanto al equipamiento de los vehículos, los acuerdos de alquiler y el manejo de la información.
Hallvard Nerbovik, director de marketing y comunicaciones de Hertz Norge, ofreció esta garantía:
«Los datos de nuestros clientes están seguros con nosotros».
Nerbovik también describió las normas de la empresa para compartir información personal:
«No compartimos datos personales relacionados con nuestros alquileres con fabricantes de autos, nuestros propietarios u otros terceros sin fundamento legal explícito».
Su respuesta no especificó cómo se manejaron los videos a bordo ni si podrían haberse transferido. Changan no respondió a las preguntas sobre el incidente.
Por qué Noruega prefiere restricciones para cada instalación
Las fuerzas armadas de Noruega dijeron que una prohibición general de los vehículos chinos tendría un impacto desproporcionado frente al beneficio de seguridad previsto. Su enfoque preferido es evaluar cada instalación y, cuando sea necesario, excluir los vehículos con cámaras y sensores, sin importar dónde se hayan fabricado.
Este enfoque sitúa los equipos de grabación en el centro de las decisiones sobre el acceso. Una cámara capaz de filmar un teclado numérico supone un problema en una entrada segura, ya sea que esté instalada en un auto de alquiler, un vehículo privado o un vehículo militar.
La escasez de autos de reemplazo durante la Operación Capital también demuestra cómo la disponibilidad de transporte influye en las decisiones de seguridad. El personal había encontrado grabaciones sensibles, pero los vehículos seguían siendo necesarios para completar el ejercicio. La respuesta combinó el borrado de las imágenes con el uso continuado de los mismos autos.
Las evaluaciones de seguridad más amplias de Noruega explican la preocupación por China. Su Evaluación Nacional de Amenazas 2026 describió un aumento de la capacidad de los organismos chinos de inteligencia y seguridad para llevar a cabo operaciones en Noruega, incluso mediante el acceso digital y fuentes humanas. Según informaciones sobre su política, Israel también prohibió los vehículos chinos en bases militares el año anterior.
En esa evaluación, el Servicio de Seguridad de la Policía de Noruega, conocido como PST, identificó el ámbito cibernético como la mayor amenaza de inteligencia procedente de China. Señaló que en 2026 actores de inteligencia chinos recopilarían información, cartografiarían la infraestructura digital noruega y amenazarían a grupos y personas en Noruega para disuadir las críticas al Partido Comunista de China.
El PST prevé que un número creciente de operaciones de inteligencia chinas en Noruega sea llevado a cabo por empresas comerciales de servicios cibernéticos y por particulares. Los organismos chinos de seguridad e inteligencia no solo realizan operaciones cibernéticas por su cuenta, sino que también pagan a empresas comerciales para que actúen en su nombre. Esas empresas han asumido un papel más central y reciben cada vez más incentivos para crear sus propias redes de fuentes, lo que amplía la capacidad de los organismos.
Los servicios de inteligencia chinos también intentan reclutar a ciudadanos noruegos para obtener información sensible y clasificada, tanto de forma directa como indirecta. Las personas con vínculos con China por estudios, trabajo, amistades o familiares están más expuestas, porque esas conexiones permiten a los servicios ofrecer recompensas o ejercer presión. El PST también prevé intentos de reclutar a ciudadanos noruegos mediante fuentes en otros países occidentales.
En las regiones septentrionales de Noruega, el escrutinio de las actividades chinas y la estrategia de seguridad nacional del Gobierno han reducido el margen de acción de los actores chinos. Aun así, el PST prevé que continúen los esfuerzos por establecerse, en gran medida mediante contactos encubiertos de instituciones de investigación chinas y personas que actúan en nombre de organismos chinos de seguridad e inteligencia. Considera que la investigación y la educación son algunos de los pocos ámbitos que aún permiten cultivar contactos y cooperación en esas regiones.
La evaluación también advierte que China o Irán podrían intentar obtener tecnología de los entornos noruegos de investigación y desarrollo mediante el acceso a instalaciones de investigación y comunidades especializadas. El uso de tecnología china en infraestructuras críticas crea oportunidades para recopilar información, porque las empresas chinas están obligadas a cooperar con las autoridades y los servicios de inteligencia de China.
La respuesta elegida por Noruega tiene un alcance técnico más amplio: las restricciones locales pueden abarcar cualquier vehículo cuyo equipamiento pueda recopilar información que una instalación determinada deba proteger.
Más de 200 sensores en un auto moderno
La Autoridad de Seguridad Nacional de Noruega, conocida como NSM, ya había advertido sobre la vigilancia mediante vehículos en su evaluación Riesgo 2025, presentada el 5 de febrero de 2025. Un auto moderno puede contener más de 200 sensores y funciones que recopilan información.
La evaluación incluye los vehículos en una advertencia más amplia sobre sensores electrónicos en teléfonos móviles, relojes inteligentes, medidores de electricidad, cerraduras electrónicas y drones. Estos sensores facilitan la vida cotidiana y el trabajo, pero también pueden utilizarse para escuchar conversaciones, vigilar y rastrear. Las organizaciones responsables de activos sensibles o que requieren protección deben reconocer estos desafíos de seguridad y tomar precauciones para proteger lo que gestionan.
La NSM describió cámaras dentro de los habitáculos que controlan la atención del conductor y también pueden filmar a los pasajeros. Los micrófonos permiten hacer llamadas telefónicas y utilizar comandos de voz. Las cámaras y los sensores exteriores observan a las personas y los objetos alrededor del vehículo. En conjunto, estos sistemas pueden recopilar imágenes, sonidos e información sobre movimientos durante un trayecto corriente.
Las cámaras interiores están diseñadas para evitar que los conductores se duerman, se distraigan o queden deslumbrados al conducir de noche. Muchos sensores de las cámaras mejoran la seguridad vial, pero también pueden utilizarse con otros fines. La NSM advirtió que tanto el sonido como las imágenes pueden aprovecharse para recopilar información de inteligencia, incluso sin que el propietario lo sepa, y que pueden surgir muchos escenarios de seguridad si un actor que representa una amenaza accede a los datos de los sensores del vehículo o puede controlar sus funciones a distancia.
Las conexiones a internet añaden otro nivel de riesgo. Permiten intercambiar información de mantenimiento y actualizaciones de software entre un vehículo y sistemas externos, pero también pueden transportar otros datos. La NSM advirtió que alguien que accediera a los sensores o controles de un auto podría utilizarlos para vigilar o interferir en las funciones del vehículo.
Los vehículos modernos tienen varias redes, incluidas conexiones a través de internet pública. Según la NSM, estas crean una superficie vulnerable por la que es posible influir en los componentes electrónicos del vehículo o controlarlos desde el exterior. Las conexiones también pueden transmitir más datos de los necesarios para el mantenimiento y las actualizaciones de software.
Los contratos de compra suelen otorgar a los fabricantes derechos sobre los datos que recopila un vehículo. Esa información puede revenderse, utilizarse como macrodatos y combinarse con otros datos para su análisis. Una vez que la información sale del vehículo, es difícil saber qué ocurre con ella, lo que crea problemas tanto de privacidad como de seguridad.
La NSM también advirtió que grandes cantidades de información procedente de sensores y redes sociales, combinadas con reconocimiento de voz o facial y datos de ubicación, pueden permitir rastrear a personas que tienen acceso a activos protegidos u otros activos importantes. La misma información puede revelar dónde se encuentran esos activos, cómo es su entorno y cuáles son sus puntos vulnerables. Por lo tanto, los datos de los sensores podrían utilizarse para atacar activos nacionales.
Andreas Skjold-Lorange, funcionario de la NSM, describió los vehículos modernos como:
computadoras sobre ruedas que recopilan información
También explicó la incertidumbre sobre la información que recopilan:
«No sabemos con certeza adónde se envía la información ni para qué se utiliza».
La recomendación de la NSM es concreta: evitar conversaciones sensibles cerca de equipos con cámaras o sensores, incluso dentro de vehículos modernos. Las organizaciones que protegen activos sensibles también deben considerar cómo resguardarlos de la observación, la escucha y el mapeo realizados por vehículos cercanos.
Las precauciones recomendadas se extienden a otros productos equipados con estos sensores, con medidas equivalentes para los teléfonos móviles.
Los autobuses de Oslo plantearon otro problema de seguridad
Pruebas realizadas para Ruter, la autoridad de transporte público de Oslo, concluyeron que el fabricante chino Yutong podría inmovilizar teóricamente sus autobuses eléctricos a distancia mediante el sistema utilizado para enviar actualizaciones de software.
Una actualización enviada de forma inalámbrica llega a un vehículo a través de una conexión de red, en lugar de mediante un cable en un taller. Esto puede facilitar la distribución de reparaciones y cambios de software. También crea una conexión por la que pueden llegar cambios que afecten al funcionamiento del vehículo.
Ruter dijo que introdujo mecanismos para supervisar y retrasar las señales entrantes, de modo que pudiera controlar las actualizaciones. Esto permite al operador de transporte gestionar cuándo llegan los cambios a sus autobuses.
El problema tiene consecuencias directas para la defensa civil. Noruega podría utilizar autobuses para evacuar a la población durante una emergencia. Si los vehículos dejaran de estar disponibles en ese momento, el problema no se limitaría a la cancelación de viajes, sino que afectaría a la capacidad de trasladar a las personas fuera de peligro.
El incidente de los autos de alquiler se refiere a información captada durante una actividad militar. Las pruebas con los autobuses se refieren al control sobre la capacidad de funcionamiento de los vehículos. Ambos casos incorporan equipos de transporte de uso cotidiano a los cálculos de seguridad nacional: las autoridades necesitan entender qué puede observar un vehículo y quién puede modificar su funcionamiento.
Las aplicaciones de actividad física también han revelado movimientos militares
Strava, una aplicación que se utiliza para registrar actividad física, ya ha demostrado cómo la tecnología personal puede revelar actividades militares. En 2018, los datos publicados por Strava permitieron identificar instalaciones militares y las rutas de los soldados, sobre todo en Afganistán y Siria.
En marzo, el uso de la aplicación por parte de un marinero permitió localizar casi en tiempo real al portaaviones francés Charles de Gaulle en el Mediterráneo oriental. Un registro destinado a seguir la actividad física terminó revelando la posición de un buque militar.
La relación con los autos noruegos es práctica. Un dispositivo que cumple una tarea habitual puede recopilar detalles que se vuelven sensibles por el lugar donde se utiliza. Una ruta de entrenamiento puede revelar la posición de un buque. Una cámara de tablero puede revelar un código de acceso. Por eso, el personal debe tener en cuenta la información que recopila un dispositivo a su alrededor, además de la tarea para la que lo utiliza.
La dependencia añade otra capa de vulnerabilidad
La advertencia de la NSM va más allá de las grabaciones individuales. La autoridad, que trabaja para reducir los riesgos estratégicos y digitales, afirma que una gran dependencia de productos o servicios de un solo país puede dejar expuesta a Noruega, sobre todo cuando ese país no coopera con ella en asuntos de seguridad.
Skjold-Lorange describió una preocupación aplicable a cualquier país proveedor:
«Si dependemos demasiado de servicios o productos de un país determinado, eso nos hace vulnerables, sea cual sea ese país».
La Operación Capital ofrece un ejemplo concreto, aunque limitado, de cómo la dependencia restringe las opciones: la escasez de vehículos sustitutos mantuvo en servicio los autos afectados después de que se encontraran los videos. La respuesta de Ruter aborda otra parte del problema al dar al operador local más control sobre los cambios de software entrantes.
Para los soldados, los operadores de transporte y las personas que dependen de ellos, el problema inmediato es el control. Las autoridades necesitan vehículos cuando lo exige un ejercicio o una emergencia, y al mismo tiempo deben proteger los códigos de acceso, los movimientos y la capacidad de mantener esos vehículos en funcionamiento.
Puntos clave
- Los autos de alquiler utilizados durante la Operación Capital en el aeropuerto de Oslo, del 14 al 18 de septiembre, registraron movimientos militares y códigos de acceso.
- Al menos dos vehículos eran autos Deepal fabricados por Changan y suministrados por Hertz Norge.
- Los soldados borraron las grabaciones, pero usaron los autos hasta que terminó el ejercicio porque había pocos reemplazos.
- Se desconoce si las grabaciones se enviaron fuera de los vehículos.
- Las fuerzas armadas de Noruega prefieren restricciones adaptadas a cada instalación y a las capacidades de grabación, en lugar de una prohibición general de los autos chinos.
- La NSM ha advertido sobre los sensores de los vehículos, el acceso remoto y la dependencia de proveedores, mientras que Ruter ha introducido controles sobre las actualizaciones entrantes de software de los autobuses.
