¿Qué pasaría si alguien puede activar una alarma sin tener el control remoto? Esta es la pregunta que se hizo Leandro Ferrari, docente de la cátedra de Seguridad Informática en la Universidad FASTA y fundador de Talsoft. Casi diez meses después, descubrió que solo se necesitan entre una y cinco líneas de código para activar y desactivar las alarmas de autos estándar.

“El objetivo es crear conciencia de que las alarmas que uno compra para proteger un bien, como un vehículo, a veces nos juegan en contra y pueden ponernos en peligro”, asegura Ferrari, quien presentó sus hallazgos en la Ekoparty, ante un auditorio impactado por las demostraciones en vivo de los resultados.

Ferrari comenzó a investigar esto a principios de 2017. Su socio le comentó que encontró la alarma de su auto desactivada, a pesar de haberla colocado al estacionarlo. El hecho le llamó la atención y empezó a preocuparse por su funcionamiento.

Descubrió así que “básicamente se necesitan tres pasos. No importan los millones de códigos requeridos para accionar la alarma. Con cinco líneas que tomes de muestra, colocándote a unos 50 metros de distancia de la persona que acciona su control, los descargás a otro dispositivo y podés usarlos en ese vehículo para siempre. Solo necesitás 40 dólares y un poco de conocimiento”, explica.

Sobre el escenario, llevó videos con demostraciones en autos y dispositivos sin instalar para hacer pruebas en vivo. Todas funcionaron. A pesar de no ser sus vehículos, de no usar los controles de fábrica, con un arduino y estas líneas de código pudo tomar control de la alarma sin inconvenientes.

“Por supuesto que estas son pruebas de concepto, no buscan crear caos ni causar hechos delictivos. Pero sí apuntan a echar luz sobre un problema: lo que comprás para proteger un bien deja una puerta abierta para que te sustraigan algo”, precisa.

Además, son potenciales causantes de ataques de denegación de servicios. “Puedo activar la alarma y dejar que suene hasta que se agote la batería. Y, al estar saturando el canal con las señales que emito, el dueño no puede tomar control sobre su vehículo”, advierte.

Ferrari tomó dos marcas conocidas y populares en el mercado, aunque sin nombrarlas. Y aclara también que las pruebas que realizó fueron con automóviles propios, de amigos y familiares, “todo con el consentimiento de sus dueños”.

El problema no es menor. Los vehículos estándar traen estos dispositivos incorporados y asociados al cierre centralizado de puertas, por lo que desactivar una alarma implica abrir un auto. Ferrari cuenta también que tomó modelos con un espacio de diez años entre sí y, para su sorpresa, nunca se mejoró la seguridad.

“Muchas veces, en el afán de que la alarma sea accesible, se baja el costo poniendo menos seguridad. Ahí empiezan los problemas”, dice Ferrari. “Presenté tres notificaciones a las empresas fabricantes, pero no obtuve respuestas”, completa.

Entonces, ¿qué hacer con este problema? “Esto afecta directamente a los bienes de las personas. Y hay que considerar, aunque no lo analicé, que los fabricantes también ofrecen alarmas para casas. Habría que ver si los procedimientos son parecidos”, considera. Y concluye: “Es mejor no tener una alarma. Lo más seguro es cerrar el vehículo con una llave física”.

Encontrá todas las notas de la conferencia bajo la etiqueta Ekoparty.