El martes me desperté con un writeup que me hizo pensar que el 2026 no iba a ser suave para la ciberseguridad del transporte. Eaton, un investigador que ya nos tenía acostumbrados a romper sistemas automotrices, publicó cómo hackeó la plataforma de gestión de flotas de Volvo/Eicher en India. Y la wea no fue una filtración complicada: fue una API que no pedía autenticación y que respondía con la lista completa de 748 mil clientes, 2,5 millones de OTPs y datos de 676 mil vehículos.
Mi Eicher es la plataforma oficial de la joint venture entre Volvo Group y Eicher Motors. Está diseñada para que dueños de flotas comerciales rastreen sus camiones y buses en tiempo real, revisen el tablero virtual de cada vehículo y configuren geocercas. Suena bacán, hasta que te das cuenta de que el endpoint /cepauthmgr/user/ entregaba todo el directorio de usuarios sin pedirte ni un token.
Eso sí es grave. No es que Eaton haya usado un exploit sofisticado o una cadena de vulnerabilidades de varios pasos. Literalmente subió una ruta en el navegador y la API le devolvió la lista de 748 mil clientes, 174 mil usuarios, 186 mil personas y los datos de 676 mil vehículos. Incluso había endpoints que mostraban 76 mil documentos sensibles: tarjetas Aadhaar, licencias de conducir, todo disponible para quien supiera la URL.
Pero lo peor vino después. Había otro endpoint que listaba 2,5 millones de OTPs enviados desde 2021. Con eso, cualquiera podía tomar un número de teléfono de la lista, pedir un código de acceso, buscar el OTP en la base expuesta y loguearse como el dueño de la cuenta. Account takeover completo, con control total sobre la flota del usuario. Y si querías ser más silencioso, había otro endpoint que te dejaba cambiar la contraseña directamente.
A mí lo que más me preocupa no es solo la cantidad de vehículos expuestos, que ya es brutal. Es la simplicidad del ataque. En una industria donde se supone que los vehículos comerciales tienen telemática robusta, ver que una API interna está accesible desde internet sin autenticación me hace dudar de cuántas plataformas similares tienen el mismo problema. ¿Cuántas flotas en Chile corren sobre software que nunca pasó por una auditoría seria de APIs?
Eaton reportó la vulnerabilidad en noviembre de 2025. Después de varios follow-ups, VECV la parcheó el 20 de noviembre, pero nunca respondió formalmente. No sabemos si revisaron los logs, si notificaron a los usuarios o si simplemente cerraron el endpoint y se hicieron los locos. Eso es lo que me molesta: la falta de transparencia cuando un incidente afecta a cientos de miles de personas y sus activos móviles.
Este caso es un recordatorio de que el IoT industrial no es un problema futurista. Está acá, ahora, y muchas veces la seguridad es una mentira construida sobre la premisa de que nadie va a revisar tu JavaScript para descubrir endpoints ocultos. Si eres responsable de un sistema que maneja flotas, cámaras, sensores o cualquier wea conectada, por favor: auditá tus APIs, activá autenticación en todo lo que esté expuesto a internet y asumí que alguien va a revisar tu código.
Porque si Eaton no lo hubiera hecho, otro lo habría hecho. Y quizás sin publicarlo.
Fuente de inspiración: Exploiting Volvo/Eicher’s fleet management platform to gain control over all users and vehicles
