Las estaciones de carga y las aplicaciones para vehículos eléctricos a menudo no están suficientemente protegidas contra los riesgos de seguridad. Los ciberataques exitosos a dichas aplicaciones permiten acciones que van desde el fraude hasta el sabotaje.
Con una capitalización de mercado esperada de 457 mil millones de dólares en 2023, se espera que el mercado de vehículos eléctricos casi se duplique para 2027 con ventas esperadas de 16 millones de vehículos por año. Para satisfacer la creciente necesidad de estaciones de carga y brindar a los propietarios de vehículos eléctricos una experiencia perfecta, la cantidad de aplicaciones para estaciones de carga de vehículos eléctricos ha aumentado exponencialmente. Hay aplicaciones de usuario final para localizar estaciones de carga, aplicaciones de pago para cargar baterías, aplicaciones de punto final que ayudan a los conductores a monitorear y administrar su uso de electricidad y aplicaciones de nivel empresarial para administrar flotas de estaciones de carga y redes de carga en edificios comerciales y residenciales.
Una matriz de dispositivos finales y aplicaciones
Todas estas aplicaciones suelen interactuar entre sí y con servicios y plataformas de terceros a través de API o complementos de JavaScript. Estas aplicaciones procesan tanto datos personales sensibles del conductor como información sobre el vehículo. Además, están conectados a una sofisticada infraestructura de backend que gestiona la distribución eficiente de energía a los cargadores de los terminales.
Las aplicaciones de carga son vulnerables a muchos riesgos de ciberseguridad. Atraen a una variedad de actores maliciosos, incluidos grupos terroristas o criminales, que intentan dañar físicamente la estación de carga y el vehículo. Además, los piratas informáticos malintencionados intentan obtener ganancias ilícitas robando dinero, electricidad o información personal. El problema es que la infraestructura de carga es muy vulnerable a violaciones de datos, pérdidas financieras y riesgos de seguridad. Y como cualquier mercado joven, todavía falta conciencia y regulaciones para protegerse adecuadamente.
Diversos desafíos de seguridad
Las aplicaciones conectadas a estaciones de carga de terminales son vulnerables a varios tipos de ciberataques, incluidos ATO (adquisición de cuentas), MITM (man-in-the-middle), ataques a la cadena de suministro, abuso de API, falsificaciones de solicitudes del lado del cliente y del servidor, XSS. (Secuencias de comandos entre sitios).
"Uno de los desafíos de seguridad es que las aplicaciones que se ejecutan en los dispositivos de la estación de carga no se actualizan con la frecuencia que deberían", afirma Uri Dorot, líder senior de soluciones de seguridad de Radware. "Como resultado, muchas versiones obsoletas de Linux y JavaScript ejecutan nuevas vulnerabilidades que no han sido parcheadas".
La tecnología es lo primero. Las regulaciones se están quedando atrás
A diferencia de los bancos, los servicios financieros y las industrias de viajes y comercio electrónico, donde los reguladores exigen la implementación de soluciones de ciberseguridad como: B. un WAF (Web Application Firewall), la industria de la carga aún está dando sus primeros pasos regulatorios. “Actualmente, las regulaciones y estándares de la industria de cobros, como ISO 15118 y SAE J3061, solo especifican las medidas de seguridad que las empresas de cobros deben considerar para proteger sus sistemas y datos de clientes de ataques cibernéticos”, dijo Dorot. "En otras palabras, no existen requisitos ni medidas que garanticen el uso de herramientas de ciberseguridad específicas".
Riesgos comunes de ciberseguridad para las aplicaciones de carga
Malware y virus: Tanto malware como virus pueden introducirse en una aplicación de carga a través de servicios de terceros infectados dentro de la cadena de suministro de la estación de carga, sofisticados ataques de bots e inyecciones. Pueden obtener acceso a través de un dispositivo de usuario final comprometido o infectado, una computadora de información y entretenimiento en el automóvil o una única estación de carga exterior independiente. Todo esto puede provocar acceso no autorizado a la infraestructura de carga, robo de datos o corrupción de aplicaciones.
Falta cifrado: Sin un cifrado adecuado de los datos transmitidos entre la aplicación de carga y la estación de carga, los datos del usuario pueden verse interceptados y comprometidos.
Autenticación insuficiente: Los mecanismos de autenticación débiles pueden permitir que usuarios no autorizados accedan a la aplicación de carga y a la infraestructura de carga. Esto puede provocar un mal uso, robo de datos o daños a la aplicación.
Riesgos de protección de datos: Las aplicaciones de carga recopilan y almacenan datos confidenciales del usuario, como datos de ubicación e información personal, incluida la información de la tarjeta de crédito. No proteger adecuadamente estos datos puede provocar violaciones de datos, robo de identidad y fraude.
Riesgos en la cadena de suministro: La cadena de suministro para aplicaciones de carga es compleja e involucra múltiples componentes y proveedores. No auditar y proteger adecuadamente estos componentes y proveedores puede generar vulnerabilidades en las aplicaciones y la infraestructura.
Ejemplos de ciberataques a aplicaciones de carga
Las aplicaciones de carga son más vulnerables a algunos tipos de ciberataques que otros tipos de aplicaciones. Estos ataques se lanzan abusando de las conexiones API, explotando vulnerabilidades conocidas relacionadas con la aplicación o a través de plataformas de terceros. En algunos de estos ataques, los perpetradores utilizan robots sofisticados con apariencia humana que pueden superar los CAPTCHA, entre otras capacidades.
Estaciones de carga pirateadas: Las estaciones de carga de vehículos eléctricos pueden ser pirateadas o comprometidas para robar datos de los usuarios o dañar vehículos. Esto se puede hacer cambiando el firmware o conectando físicamente un dispositivo a la estación de carga. Una vez que una estación de carga fraudulenta se conecta a la red, puede usarse para futuros ataques.
Fraude de facturación: Las aplicaciones de cobro suelen incluir procesos de facturación y pago. Los actores maliciosos aprovechan las vulnerabilidades en el proceso de facturación para cometer fraude lanzando bots para crear sesiones de cobro falsas o cobrando de más a usuarios desprevenidos.
Suplantación de ubicación: La suplantación de ubicación implica engañar a la aplicación que se carga para que el usuario desprevenido crea erróneamente que se encuentra en una ubicación diferente. Esto se puede utilizar para evitar precios basados en la ubicación o para obtener acceso a estaciones de carga a las que solo se puede acceder en determinadas ubicaciones.
Ataques de denegación de servicio: En un ataque de denegación de servicio (DoS), la aplicación que se está cargando se sobrecarga debido al tráfico en la red subyacente. Esto hará que la aplicación deje de estar disponible o sea inutilizable. Los ataques DoS pueden alterar la infraestructura de carga y/o utilizarse para extorsionar al proveedor de la aplicación.
Ataques de inyección: Un ataque de inyección implica inyectar scripts maliciosos en los campos de entrada del usuario para manipular la base de datos y acceder a datos confidenciales. Las aplicaciones de carga que utilizan bases de datos para almacenar datos de usuario o información de sesión son vulnerables a ataques de inyección.
Ataques de secuencias de comandos entre sitios (XSS): Los ataques XSS inyectan scripts maliciosos en sitios web vistos por otros usuarios. La carga de aplicaciones que permiten contenido generado por el usuario o que tienen campos de entrada que no están validados adecuadamente son vulnerables a ataques XSS.
Ataques de falsificación de solicitudes entre sitios (CSRF): Los ataques CSRF engañan a los usuarios para que, sin saberlo, realicen acciones en nombre de un atacante. Esto podría ser, por ejemplo, enviar un formulario o transferir dinero. La carga de aplicaciones que dependen de cookies o tokens de sesión para autenticar a los usuarios es vulnerable a los ataques CSRF.
Ataques de falsificación de solicitudes del lado del servidor (SSRF): Un ataque SSRF ocurre cuando un atacante engaña al servidor de aplicaciones de carga enviando una solicitud maliciosa para acceder a un recurso en otro servidor que no está destinado a ser accesible públicamente. De esta manera, el atacante puede eludir la autenticación y obtener acceso no autorizado a información confidencial o controlar la estación de carga.
Más vehículos también significan más ataques.
Para proteger adecuadamente las aplicaciones y la infraestructura de carga, los desarrolladores de aplicaciones de carga pueden tomar varias contramedidas. Esto incluye validar y desinfectar las entradas, hacer cumplir la lista blanca de recursos aprobados y limitar el alcance de las solicitudes que puede realizar la aplicación. Las empresas de carga también deberían considerar implementar una variedad de herramientas y medidas de ciberseguridad para protegerse contra diversos tipos de ciberataques a las aplicaciones. Estas herramientas incluyen WAF, administradores de bots, herramientas de protección API y DDoS, protección del lado del cliente para monitorear las cadenas de suministro de aplicaciones, sistemas de prevención y detección de intrusiones, cifrado y controles de acceso. Las herramientas y medidas pueden variar dependiendo de las necesidades y riesgos específicos de la empresa. Las empresas cobradoras también deben tomar medidas proactivas y realizar pruebas de seguridad y evaluaciones de vulnerabilidad periódicas para identificar y remediar las vulnerabilidades antes de que sean explotadas por actores malintencionados.
Más en Radware.com
Acerca de Radware Radware (NASDAQ: RDWR) es líder mundial en soluciones de ciberseguridad y entrega de aplicaciones para centros de datos virtuales, en la nube y definidos por software. La cartera galardonada de la empresa protege la infraestructura de TI y las aplicaciones críticas de toda la empresa y garantiza su disponibilidad. Más de 12.500 XNUMX clientes empresariales y de operadores en todo el mundo se benefician de las soluciones de Radware para adaptarse rápidamente a los desarrollos del mercado, mantener la continuidad del negocio y maximizar la productividad a bajo costo.