Rastreadores de vehículos GPS, seguridad y privacidad del consumidor

Una lección sobre la importancia del análisis de amenazas de IoT y las pruebas de seguridad

Ya sea que sea un consumidor o propietario de una empresa, la ciberseguridad en general y la seguridad del rastreador GPS en particular son cada vez más importantes cada día. Es una gran preocupación. De hecho, en una encuesta nacional realizada a principios de este año, el 70% de los consumidores dijeron que les preocupaba que sus datos personales se divulgaran a las personas equivocadas. Al mismo tiempo, la mayoría de los propietarios de vehículos existentes y futuros están preocupados por el robo de automóviles, con razón, debido a una tendencia al alza de automóviles y camiones robados durante el año pasado (un aumento del 9.2 por ciento con respecto al año anterior, según el FBI).

Los concesionarios de automóviles están convirtiendo estas dos preocupaciones en oportunidades comerciales al brindar soluciones que permiten la recuperación rápida de vehículos robados para los consumidores, mientras que al mismo tiempo administra sus lotes de manera más eficiente con una mayor visibilidad de su inventario y genera ingresos incrementales para el concesionario a través de la venta de estos dispositivos. Pero no todas las soluciones de recuperación de robos ofrecen el mismo nivel de protección en lo que respecta a la privacidad y los datos del consumidor. 

¿Todos los rastreadores GPS protegen la privacidad del consumidor?

Cuando investigamos las soluciones de rastreo basadas en GPS que se usan comúnmente en la industria automotriz de EE. UU. Y sus características de seguridad, descubrimos que algunas de ellas están cuidadosamente diseñadas para proteger los dispositivos y sus datos de la piratería, mientras que otras tienen muy poca o ninguna protección. ¿Por qué importa esto? Con un rastreador mal protegido, los ladrones podrían encontrar fácilmente la ubicación de un automóvil, lo que les permitiría descubrir dónde vive el propietario, dónde trabajan e incluso a dónde van sus hijos a la escuela. Y los concesionarios de automóviles que venden soluciones inseguras corren el riesgo de provocar la ira de sus clientes.

En un esfuerzo por obtener información sobre algunas de las medidas de seguridad comunes que una solución de rastreo por GPS podría tener (o estar muy deficiente), decidimos analizar dos soluciones de rastreo diferentes en profundidad: una era una solución tradicional por cable y el otro, una solución inalámbrica de última generación que funciona con baterías. 

Las malas noticias: Solución A, el GPS cableado

La solución A generalmente la instala un técnico del concesionario que la conecta a la batería del vehículo. Cuando examinamos esta solución, descubrimos algunos hallazgos impactantes. Pudimos determinar fácilmente el número de teléfono que usaba el dispositivo para comunicarse con la red celular. A partir de ahí, podríamos conseguir que nos proporcione su ubicación exacta simplemente enviándole un mensaje de texto que contenga frases de comando que encontramos publicadas en Internet, que fueron interpretadas como instrucciones. Esto por sí solo representa una violación de la privacidad del consumidor y expone a las personas a peligros como el acecho, el robo y otros delitos. Si el sistema se diseñó teniendo en cuenta la seguridad, no deberíamos haber podido obtener esa información.

También descubrimos que con una mayor manipulación, es posible hacer que el rastreador envíe una ubicación falsa. Incluso se podría deshabilitar el rastreador por completo manipulando remotamente su software.

Eso significa que el dueño del vehículo y los oficiales de policía no tendrían forma de rastrear el auto cuando fue robado. O peor aún, los ladrones podrían enviar a las autoridades a buscar en la dirección equivocada.  

Para los consumidores que utilizan dispositivos con poca seguridad, los problemas asociados con estas amenazas son obvios. Si usted es un concesionario de automóviles que vende estos dispositivos a sus clientes, corre el riesgo de malas relaciones públicas, disminución de ingresos, pérdida de confianza y quizás incluso problemas de responsabilidad si una solución que vendió se ve comprometida. 

Todos estos problemas podrían haberse evitado trabajando con un experto externo imparcial para evaluar la seguridad del dispositivo y la solución de extremo a extremo con el fin de identificar problemas antes de que se lanzara el producto, protegiendo los ingresos a largo plazo y reputación del fabricante y su producto.

¡Pero afortunadamente también hay buenas noticias!

Las buenas noticias: Solución B, el dispositivo de seguimiento inalámbrico

Nuestras pruebas de la Solución B, un dispositivo de seguimiento inalámbrico de próxima generación, no encontraron NINGUNA de las mismas debilidades. Protegió con éxito la información de ubicación de los piratas informáticos, lo que solo permitió al propietario real del dispositivo acceder a la posición de su automóvil utilizando un cifrado de datos avanzado. Este dispositivo también tenía protecciones sólidas, como la autenticación de usuario, para garantizar que nadie pudiera deshabilitar o manipular remotamente el dispositivo mediante descargas y comandos por aire; esto aseguró que siempre estuviera disponible para informar la ubicación correcta del vehículo. Para los consumidores, esto significa que su privacidad y seguridad están protegidas. También mejora las posibilidades de que puedan recuperar su automóvil más rápidamente si es robado. Para los concesionarios de automóviles, significa clientes satisfechos y sin problemas de responsabilidad por dispositivos comprometidos.

¿Cómo elegir qué producto comprar o vender? 

Ya sea un dispositivo GPS o cualquier otro dispositivo de IoT, hay tres preguntas clave que cualquiera debería hacer sobre cualquier dispositivo de IoT antes de elegir comprarlo o venderlo: 

• Privacidad: ¿El dispositivo está diseñado teniendo en cuenta la privacidad de los datos? ¿Los datos de ubicación están protegidos con tecnología de cifrado?
• Protección: ¿Qué se ha hecho para proteger el dispositivo de los piratas informáticos para que no pueda ser manipulado o desactivado? ¿Se firman y autentican las nuevas descargas de firmware? ¿Se autentican los comandos remotos del dispositivo?
• Verificación independiente: ¿La empresa que diseñó el dispositivo utiliza expertos en seguridad internos o externos para probar la seguridad de un extremo a otro de la solución? 

¿Necesita ayuda para garantizar que su solución sea segura?

No todas las empresas tienen las habilidades internas para lograr el nivel de seguridad de IoT que necesitan (o incluso identificar qué amenazas son más relevantes contra las que deben protegerse). En ese caso, lo más inteligente es obtener ayuda de una empresa externa especializada en seguridad, que puede ayudar con actividades como evaluación de amenazas, diseño de arquitectura de seguridad y evaluación de seguridad de su producto final antes de que salga al mercado. Reparar una falla de seguridad después del lanzamiento puede costar hasta 80 veces más que detectar la misma falla mientras aún se encuentra en la fase de diseño, y eso puede significar la diferencia entre el éxito o el fracaso del producto e incluso de la empresa.