🔥 Polémica
Nadie te dice esto sobre los camiones conectados: 676,000 vehículos de Volvo expuestos por una API insegura
Imaginá esto: abrís tu navegador, escribís una URL al azar y de repente tenés acceso a 676,000 vehículos en movimiento. Podés rastrearlos en tiempo real, ver el panel de instrumentos del conductor, establecer geo-cercas, cambiar contraseñas — y ni siquiera necesitás una contraseña para llegar ahí.
No es una película de hackers. Pasó de verdad. Y durante más de un año, nadie se dio cuenta.
¿Qué pasó con My Eicher?
VE Commercial Vehicles (VECV), laconjunta empresa de Volvo Group y Eicher Motors, maneja un sistema de gestión de flotas llamado My Eicher. Es una plataforma de telemática que permite a dueños de camiones y autobuses rastrear, gestionar y controlar sus flotas en India.
Suena útil, ¿no? El problema es que cualquiera podía acceder a ella.
El investigador de seguridad Eaton Z. (sí, el mismo que expuso una vulnerabilidad en Toyota en 2024) descubrió que las APIs internas de My Eicher no tenían autenticación. Literalmente, subió un nivel en la URL y apareció una lista completa de todos los endpoints del sistema.
Los números son escalofriantes
Esto no es un "bug menor". Los datos expuestos incluyen:
- 676,000 vehículos con tracking en tiempo real
- 748,000 cuentas de clientes (empresas y personas)
- 2.5 millones de OTPs (códigos de verificación por SMS) desde 2021
- 76,000 documentos sensibles: Aadhaar cards (el equivalente indio del DNI), licencias de conducir, documentos de identidad
💀 Lo peor: las OTPs permitían hacer account takeover total. El investigador podía elegir un número de teléfono cualquiera de los 748,000 registrados, pedir un OTP, y luego leerlo directamente desde la API para iniciar sesión como ese usuario. Sin alertas, sin notificaciones.
¿Cómo se descubrió? Por pura casualidad
Eaton venía intentando encontrar vulnerabilidades en My Eicher desde 2024, sin éxito. Un día, por puro filing (como le dicen los hackers), decidió ponerle /api al final de la URL del homepage... y apareció una lista completa de todos los endpoints internos.
En sus propias palabras: "En el 99% de los casos, subir un nivel en la ruta de la API resulta en un error HTTP. Esta vez, reveló una lista masiva de todas las APIs relacionadas con usuarios."
Y lo más grave: todas estaban sin autenticación.
Esto no es un problema de India — es un aviso para todo el mundo
Podés pensar "eso pasa en India, a mí no me afecta". Grave error.
La conectividad en los vehículos está creciendo más rápido que la seguridad. Tesla, Ford, Toyota, Volkswagen — todos tienen plataformas de telemática similares. Y si un gigante como Volvo (sí, el Volvo que se vende como "el auto más seguro del mundo") tiene una vulnerabilidad así, imaginá el resto.
En LATAM la situación es peor. Apps de rastreo vehicular como Traccar, GPS Chile, Monitoreo México y decenas de startups locales usan arquitecturas similares sin auditorías de seguridad externas. Si My Eicher —respaldado por Volvo Group— tuvo este nivel de exposición, ¿qué esperanza hay para plataformas más chicas?
¿Cómo proteger tu vehículo conectado? (Tips prácticos)
1. Preguntá por auditorías de seguridad. Si usás un sistema de rastreo para tu flota, preguntá si han hecho pruebas de penetración externas. Si la respuesta es "no" o "no sabemos", buscá alternativa.
2. Desactivá funciones que no uses. Muchos sistemas de telemática vienen con APIs abiertas por defecto. Revisá la configuración de tu cuenta y desactivá todo lo que no necesites.
3. Usá autenticación de dos factores (2FA). No confíes solo en SMS. Si la plataforma lo soporta, usá una app de autenticación como Google Authenticator.
4. Monitoreá activity logs. Revisá periódicamente los accesos a tu cuenta de flota. Si ves inicios de sesión desde ubicaciones desconocidas, sospechá.
5. Exigí transparencia. Como consumidor, tenés derecho a saber cómo se protegen tus datos. Si una empresa no puede explicarte su postura de seguridad, es una red flag enorme.
El verdadero problema: la seguridad es un afterthought
Lo más preocupante de este caso no es la vulnerabilidad en sí — los bugs pasan. Es que Eaton reportó el problema a VECV y recibió cero respuesta. Tuvo que escalar a través de contactos indirectos para que alguien lo escuchara. Y aún así, después de que parchara la vulnerabilidad principal, no pudo contactar a nadie para reportar preocupaciones adicionales.
Cuando una empresa de manufactura vehicular no tiene un canal de respuesta a incidentes de seguridad, el problema no es técnico — es cultural.
Y esa cultura es la que pone en riesgo los 676,000 vehículos que siguen conectados hoy, con conductores que no tienen idea de que su ruta, su carga y sus documentos personales alguna vez estuvieron (y quizás siguen) al alcance de cualquiera que sepa escribir una URL.
Compartí esto con alguien que maneje una flota de camiones o tenga un auto conectado. La seguridad vehicular no es solo cosa de airbags y frenos ABS — el código también mata.