Con la patente basta: así abrieron a distancia el auto de cualquiera

📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.

Todo partió con una patente

La investigación que estos días está dando vueltas en HackerNews me dejó con la mole rato: dos investigadores lograron desbloquear a distancia cualquier auto de una automotriz grande, encenderle el motor y hasta tocarle la bocina, partiendo por algo tan simple como leer la patente del vehículo. Sin jammer, sin hardware pegado al auto. Puro web. Y funcionaba en Australia, Estados Unidos y Canadá.

La cadena en Australia era casi insultante de simple. La patente te da el VIN en los sitios públicos de registro de cada estado, porque revisar el historial de un auto usado es legítimo y está bien así. Con el VIN, una API de la propia automotriz te devuelve el GUID del suscriptor, y con ese GUID llegas al correo y a la ficha completa del usuario. ¿Y el resto? Un panel de administración llamado TEST HARNESS expuesto en internet, cuyas APIs respondían sin más autenticación que keys hardcodeadas en el bundle de JavaScript de la app. Que cualquiera puede bajar.

Las credenciales del proveedor

El golpe final fue aún más clásico: dentro de un bundle de JavaScript de un proveedor iban embebidas las credenciales de administrador de OpenIDM, la plataforma de identidad (ForgeRock) que gestiona todas las identidades de los conectados con la marca. Con esas credenciales el resto fue artesanal: cambiar la contraseña de cualquier usuario vía PATCH, saltarse el MFA con un flujo ROPC mal configurado, acuñar el token de la app del consumidor y mandar el comando de puerta a la API de telemática usando solo el VIN. Todo probado, por una vez, sobre autos propios de los investigadores.

El WAF: la venda más cara

Lo que más me gustó del writeup no fue el resultado sino un detalle. La automotriz tenía su WAF puesto con convicción: cualquier request a /openidm/ volaba directo a un 403, incluso con la IP de origen en la mano. Alguien allá adentro sabía que ahí había algo feo, y en vez de sacar el asset de internet lo tapió con reglas. Mal negocio: las vendas invitan. Con un simple /static%2f..%2fopenidm/ pasaron como si nada, porque ese prefijo no estaba en la lista negra.

Y viene mi parte favorita, la que me tiene dándole vueltas. Los dos investigadores llevaban días trabados con el path traversal, probando combinaciones a mano y frustrados. Le pasaron el código de OpenIDM al modelo GPT 5.6 y a las seis horas el modelo encontró la variante que ni uno ni otro había probado. Sin magia ni agentitos conscientes: pura prueba sistemática de combinaciones que a un humano se le escapan por sesgo. Después de meses corriendo mis crones y agentes en VPSes, es justamente el tipo de tarea donde la IA me parece útil: no la idea creativa —esa la pusieron ellos— sino el agotamiento de variantes. Eso no lo hace nadie a las 2 de la mañana sin enojarse.

Lo que me toca de cerca

La telemática en autos ya no es ciencia ficción, es producto: abrir el auto desde el celular es una feature que se vende. Y cada plataforma así es un servicio web más, con credenciales, APIs y —si el fabricante no pone cuidado— un panel admin olvidado en un subdominio. Da lo mismo que el hardware del vehículo esté bien hecho: por diseño, el servicio tiene que ser alcanzable desde internet, así que si la API cae, cae todo. Es la lección que repito hace años administrando servidores: todo lo que conectas a internet se convierte en superficie de ataque, y tu WAF no es arquitectura, es maquillaje.

Si tu auto se abre desde una app, ya sabes dónde está el eslabón débil: probablemente ni siquiera en tu garaje. Revisa quién más tiene cuenta asociada al vehículo y qué se puede hacer en remoto de verdad. Yo, por mi parte, sigo mirando de reojo los bundles de JavaScript ajenos: esa costumbre no cuesta nada y de vez en cuando te entrega toda la historia de otra persona en un solo archivo.

Fuente: Unlocking any car from X brand in most of the world, investigación de Shubs junto a Sam Curry, quien publicó la cadena global en su propio blog.

Fuente de inspiración: Unlocking any car from X brand in most of the world