Dinamarca busca cerrar una brecha de seguridad en los autobuses eléctricos chinos tras las pruebas en Noruega

Por qué una prueba de autobuses en Noruega encendió las alarmas en Dinamarca

Dinamarca se apresura a proteger su red de autobuses públicos después de que pruebas controladas en Noruega revelaran que los autobuses eléctricos de fabricación china incluyen conectividad remota que podría utilizarse para apagar los vehículos mientras están en servicio. La conectividad existe por motivos legítimos, principalmente para actualizaciones de software y diagnósticos. Los expertos en seguridad afirman que el mismo canal, si se utiliza indebidamente, podría interrumpir las operaciones. Las agencias y los operadores daneses están examinando ahora cientos de autobuses en uso diario, incluidos 262 vehículos Yutong operados por Movia en Copenhague y sus alrededores, para asegurarse de que ningún control remoto sin supervisión pueda afectar el servicio.

Ruter, el operador de transporte público de Noruega, probó dos autobuses Yutong en un entorno aislado. Los ingenieros confirmaron que el fabricante podía conectarse a sistemas que permiten realizar actualizaciones, diagnósticos y gestionar la energía. Los investigadores descubrieron que retirar las tarjetas SIM bloqueaba las comunicaciones externas. Esa medida también interrumpía servicios importantes, como la información de llegada en tiempo real, la detección remota de fallas y el mantenimiento predictivo. Ruter informó a las autoridades nacionales y locales y prepara requisitos de seguridad más estrictos para futuras compras.

Yutong rechaza la idea de que un proveedor pueda dirigir, frenar o acelerar un autobús a distancia. La empresa afirma que el enlace de datos existe para tareas de mantenimiento y que los datos europeos se almacenan en una instalación de Amazon Web Services en Fráncfort, protegidos mediante cifrado y controles de acceso. No hay casos registrados de apagado remoto de un autobús en Noruega ni en Dinamarca. Aun así, los operadores consideran inaceptable cualquier vía de acceso sin control a equipos críticos.

¿Qué descubrió Noruega durante las pruebas de los autobuses?

Ruter informó que sus equipos descubrieron módulos integrados de SIM y almacenamiento que permitían una conexión móvil segura entre los autobuses y servidores externos. El enlace permitía realizar diagnósticos remotos y actualizaciones de software. Los ingenieros concluyeron que un usuario malintencionado, o una cuenta del proveedor que hubiera sido vulnerada, podría interrumpir el suministro eléctrico u otras funciones que mantienen el autobús en movimiento. La prueba no mostró que fuera posible dirigir o frenar el vehículo a distancia. Sí puso de relieve la posibilidad de detener un autobús cortando la tracción o la energía.

El operador también examinó autobuses de un fabricante europeo de antigüedad similar. Esos vehículos no utilizaban funciones de actualización remota, lo que reducía la superficie de ataque, pero también limitaba la flexibilidad y la eficiencia del mantenimiento. El contraste, junto con los hallazgos sobre Yutong, convenció a las autoridades noruegas de que hacen falta requisitos de compra más claros para cualquier marca que dependa de servicios conectados.

La solución de retirar las tarjetas SIM y sus contrapartidas

Retirar las tarjetas SIM interrumpe de inmediato el enlace remoto, pero también desactiva herramientas de las que dependen muchas agencias de transporte. Los paneles de llegada en tiempo real y las estimaciones de las aplicaciones móviles dependen de la conectividad de los vehículos. Lo mismo ocurre con los diagnósticos remotos y la planificación del mantenimiento del software. Una desconexión permanente retrasaría la recuperación del servicio cuando se producen fallas y podría aumentar los costos, ya que los técnicos perderían datos detallados de telemetría y alertas tempranas. Los operadores evalúan medidas de protección específicas que mantengan los flujos de datos esenciales y, al mismo tiempo, bloqueen cualquier acceso del proveedor que no esté autorizado y supervisado de forma explícita.

¿Se llegó a tomar el control de algún autobús?

Las autoridades afirman que no se han registrado casos de manipulación remota de autobuses en servicio. Yutong sostiene que las funciones críticas para la seguridad, como la dirección, la propulsión y el frenado, no aceptan órdenes desde redes externas. Las pruebas de Ruter y las aclaraciones de expertos apuntan a un riesgo más limitado: los autobuses podrían quedar inoperativos si se alteraran el suministro eléctrico o la gestión de las baterías a través de un canal conectado. Una interrupción de ese tipo tendría consecuencias graves para las operaciones, aunque los conductores conservaran el control total del vehículo mientras está en movimiento.

Bernt Reitan Jenssen, director ejecutivo de Ruter, dijo que la probabilidad de un intento de interferencia sigue siendo baja, pero pidió tomar medidas para reducir la exposición.

«Debemos tomarnos el riesgo en serio».

Cómo responde Dinamarca

La Agencia Danesa de Protección Civil y Gestión de Emergencias afirma que no tiene conocimiento de ningún caso confirmado de desactivación remota en Dinamarca. La agencia advierte que los subsistemas y sensores conectados a internet podrían utilizarse para interrumpir el servicio si los controles de seguridad son débiles. Está siguiendo la evolución de la situación y evaluando si las directrices actuales son adecuadas, y está preparada para asesorar a los operadores sobre prevención y respuesta.

Movia, la mayor empresa de transporte público de Dinamarca, opera 469 autobuses eléctricos de fabricación china en Selandia, de los cuales 262 son Yutong. Jeppe Gaard, director de operaciones de Movia, reconoció que los vehículos conectados pueden estar expuestos a interferencias remotas cuando sus sistemas de software utilizan redes abiertas. Señaló que la preocupación afecta a una amplia gama de vehículos y dispositivos conectados; no se limita a los autobuses chinos. Movia planea endurecer los requisitos de ciberseguridad en futuras licitaciones y está evaluando medidas de protección para su flota actual.

Representantes políticos y grupos de la sociedad civil reclaman normas nacionales que consideren el transporte público una infraestructura crítica. Sostienen que depender en gran medida de proveedores extranjeros debilita la capacidad de resistencia durante una crisis. Los legisladores estudian opciones como criterios uniformes para las licitaciones, evaluaciones de riesgo de los proveedores, normas sobre la ubicación de los datos y límites al acceso remoto sin supervisión. Cualquier cambio tendría que ajustarse a la legislación danesa y de la Unión Europea sobre contratación pública, y al mismo tiempo ofrecer a los operadores herramientas prácticas para mantener el servicio.

Qué dice Yutong sobre el acceso y los datos

Yutong afirma que no es posible controlar de forma remota las funciones críticas para la seguridad de sus autobuses. La empresa sostiene que la unidad de control principal está separada de los sistemas de dirección, propulsión y frenado. La conexión de datos permite realizar diagnósticos, supervisar el rendimiento y gestionar funciones de confort, como la climatización previa del habitáculo. Las actualizaciones requieren la aprobación explícita del operador. La empresa también afirma que los datos dentro de la Unión Europea se almacenan en Fráncfort y están protegidos mediante cifrado y controles de acceso estrictos. Ruter ha explicado que sus hallazgos describen un riesgo teórico y que no se han registrado incidentes relacionados con la seguridad.

Explicación del riesgo técnico

Los autobuses modernos llevan una unidad telemática conectada a redes celulares. Esta unidad se comunica con una plataforma en la nube para transmitir datos sobre el estado del vehículo y recibir paquetes de software o cambios de configuración. En el interior del vehículo, una red de área de controlador conecta los subsistemas de propulsión, baterías, puertas, calefacción y pantallas del conductor. Un buen diseño mantiene los circuitos críticos para la seguridad en líneas separadas y con un aislamiento sólido. En la práctica, hay interfaces entre las redes para que los equipos de soporte puedan diagnosticar fallas y aplicar soluciones. Esas mismas interfaces resultan atractivas para los atacantes si las verificaciones de identidad o las reglas de acceso son débiles.

El riesgo plausible no es un secuestro remoto como los de Hollywood. La principal preocupación es una orden remota que desactive la propulsión o el suministro eléctrico, o una actualización de software que dañe un componente e impida que el autobús se mueva. Si cientos de vehículos comparten la misma configuración y la misma cuenta del proveedor, una sola vulneración podría causar una interrupción generalizada sin necesidad de intervenir en la dirección ni en los frenos. Las agencias quieren pruebas de que los canales remotos estén desactivados de forma predeterminada, que se aplique el acceso basado en roles y que los operadores puedan cortar de inmediato las conexiones externas si sospechan un uso indebido.

Qué podría verse afectado en la práctica

• Activación de la potencia de tracción y condiciones de arranque del inversor
• Configuración del sistema de gestión de baterías, incluidos los límites de carga y descarga
• Lógica y horarios de control de carga
• Distribución de energía de bajo voltaje que alimenta las unidades de control y los sensores
• Sistemas del habitáculo, como calefacción, ventilación e iluminación

Los equipos de seguridad se centran en reforzar estas vías de acceso y preservar los datos necesarios para unas operaciones seguras y eficientes. El objetivo es mantener los diagnósticos remotos y las actualizaciones que no sean críticas, con controles sólidos que impidan cualquier acción remota capaz de inmovilizar un vehículo sin autorización local.

Cómo podrían ser las nuevas normas

Las empresas de transporte, los organismos reguladores y los proveedores están elaborando medidas de protección para las flotas conectadas. Estas medidas buscan conservar las ventajas de la telemetría y el soporte remoto, y cerrar al mismo tiempo cualquier vía de acceso sin supervisión al sistema de tracción. Las condiciones contractuales, la certificación y los controles técnicos tendrán que estar alineados para que los operadores tengan la última palabra sobre qué entra en la red de un autobús y cuándo.

• Control local de la conectividad, con la capacidad de desactivar de inmediato el acceso del proveedor
• Control de las actualizaciones, con revisión y firma del firmware y los cambios de configuración antes de su instalación
• Separación estricta entre los sistemas de diagnóstico y las redes críticas para la seguridad
• Acceso basado en roles y autenticación multifactor para todas las sesiones remotas
• Registros inalterables y auditorías independientes de las conexiones remotas
• Normas claras sobre la ubicación de los datos y estándares de cifrado
• Evaluación de riesgos de los proveedores en las licitaciones, incluidas prácticas de desarrollo seguro y capacidad de respuesta ante incidentes
• Pruebas de penetración de terceros y certificación de las plataformas de vehículos conectados

Qué significa para los pasajeros y las ciudades

Los pasajeros no deberían esperar cambios inmediatos en el servicio. Los autobuses son conducidos por personas y no pueden operarse desde fuera del vehículo. Los operadores afirman que las cámaras de estos autobuses no están conectadas a internet, por lo que no existe el riesgo de transmisión de imágenes en directo. Si un operador retira las tarjetas SIM para aislar los vehículos, se verán afectadas las previsiones de llegada en tiempo real, los paneles de control de la flota y los diagnósticos remotos. Por eso, las agencias prefieren controles por capas que mantengan el flujo de información del servicio y eviten órdenes no autorizadas.

Las ciudades deben encontrar un equilibrio entre la comodidad del mantenimiento remoto y la seguridad que ofrece un mayor control local. Interrumpir la conectividad puede reducir el riesgo, pero también perjudica la fiabilidad y aumenta los costos. Un enfoque equilibrado aplica una gobernanza sólida, transparencia y controles técnicos verificables para que los operadores conserven las ventajas de las flotas conectadas sin exponer el tren motriz a interferencias externas.

Puntos clave

• Dinamarca está auditando cientos de autobuses eléctricos de fabricación china después de que las pruebas en Noruega revelaran un canal de acceso remoto en vehículos Yutong.
• Las pruebas aisladas de Ruter mostraron que retirar las tarjetas SIM bloquea el acceso remoto, pero también desactiva la información en tiempo real y los diagnósticos.
• Yutong niega que pueda controlar la dirección, la propulsión o el frenado, y afirma que los datos de la Unión Europea se almacenan en Fráncfort con cifrado y controles de acceso.
• La agencia danesa de protección civil no tiene conocimiento de casos de desactivación, pero advierte que los subsistemas conectados podrían ser objeto de ataques si no cuentan con controles sólidos.
• Movia opera 469 autobuses eléctricos chinos, incluidos 262 Yutong, y planea imponer requisitos de ciberseguridad más estrictos en futuras licitaciones.
• El riesgo principal es la interrupción remota del suministro eléctrico o de la gestión de las baterías, que podría inmovilizar los autobuses aunque los conductores conservaran el control de la dirección y los frenos.
• Entre las medidas propuestas figuran interruptores locales para cortar la conectividad, controles de actualizaciones, separación de redes, autenticación multifactor y auditorías independientes.
• Los operadores buscan proteger la calidad del servicio y cerrar el acceso remoto sin supervisión, en lugar de desactivar la conectividad de toda la flota.