--- title: Dos usuarios de dos marcas de automóviles permitieron el control remoto de vehículos por una falla de seguridad url: https://www.dataloco.com/es/dos-usuarios-de-dos-marcas-de-automoviles-permitieron-el-control-remoto-de-vehiculos-por-una-falla-de-seguridad published: 2026-11-12T13:21:25+00:00 language: es section: Seguridad source: https://www.donanimhaber.com/iki-otomobil-markasinda-akilalmaz-guvenlik-acigi--212681 organizations: ForgeRock, Apache Felix, Subaru publisher: Dataloco --- # Dos usuarios de dos marcas de automóviles permitieron el control remoto de vehículos por una falla de seguridad Investigadores de seguridad accedieron a los sistemas de dos fabricantes de automóviles utilizando el nombre de usuario y la contraseña predeterminados, ambos configurados como admin. Esta vulnerabilidad permitió a los atacantes tomar el control de las cuentas de los clientes y ejecutar comandos sobre los vehículos conectados. Los hallazgos fueron descubiertos por los expertos Sam Curry y Shubham Shah, y los detalles de la investigación se publicaron el 7 de noviembre. A petición de las empresas afectadas, los nombres de las marcas no fueron revelados en el informe. Ambos fabricantes utilizaban la plataforma de gestión de identidades ForgeRock para el inicio de sesión en sus aplicaciones móviles. Los investigadores encontraron una consola de administración de Apache Felix que estaba protegida por un cortafuegos. Sin embargo, lograron sortear esta barrera mediante direcciones de internet especialmente preparadas. Al llegar a la pantalla de inicio de sesión, probaron las credenciales predeterminadas y descubrieron que tanto el nombre de usuario como la contraseña eran admin en los servidores de ambas marcas. Este acceso les permitió ejecutar su propio código en el servidor y acceder al sistema que gestionaba los registros de los clientes, otorgándoles la capacidad de modificar direcciones de correo electrónico y contraseñas de los usuarios. Para demostrar el impacto de la falla, los investigadores modificaron la dirección de correo electrónico de una cuenta de prueba y establecieron una nueva contraseña. Luego iniciaron sesión en la aplicación móvil del vehículo como un usuario normal. El código de verificación de seis dígitos enviado a la cuenta llegó directamente a los investigadores. Desde la cuenta comprometida, pudieron acceder al número de chasis, el modelo y la información de suscripción del vehículo. Además, utilizaron las funciones de control remoto disponibles en la aplicación para abrir las puertas del automóvil y encender el motor. Después, apagaron el motor y volvieron a bloquear las puertas. El propietario del vehículo tenía dificultades para detectar la intrusión porque la sesión de la aplicación móvil existente no se cerró, permitiendo que el usuario legítimo continuara usando la aplicación sin saber que su cuenta había sido comprometida. Los investigadores indicaron que probaron la cadena de ataque completa en cuentas y vehículos de Estados Unidos. Shubham Shah también descubrió una vulnerabilidad diferente en los sistemas de las mismas marcas en Australia, donde se podía acceder al sistema mediante credenciales de administrador incrustadas en el código de la aplicación móvil. Juntas, estas investigaciones mostraron que se podían enviar comandos para desbloquear y encender vehículos en Estados Unidos, Canadá y Australia. Las empresas corrigieron los problemas aproximadamente dos horas después de ser notificadas, cambiando las credenciales expuestas. Los usuarios no necesitan instalar actualizaciones en sus teléfonos o vehículos, ya que el problema residía en la configuración de seguridad de los servidores de los fabricantes. Este incidente no es el primero de su tipo, ya que los investigadores habían encontrado previamente una falla crítica en el sistema Starlink de Subaru, que permitía desbloquear vehículos y acceder al historial de ubicación de un año. Subaru resolvió ese problema en un día. ## This story in other languages - [Deutsch](https://www.dataloco.com/de/zwei-automobilhersteller-verwundbar-durch-standardzugangsdaten) - [Italiano](https://www.dataloco.com/it/due-case-automobilistiche-esposte-a-un-difetto-di-sicurezza-incredibile-nome-utente-e-password-entrambi-admin) - [Norsk](https://www.dataloco.com/no/to-bilmerkevarer-hadde-admin-som-bade-brukernavn-og-passord) - [Русский](https://www.dataloco.com/ru/dva-proizvoditelia-avtomobilei-ispolzovali-parol-admin-dlia-dostupa-k-sistemam-upravleniia) - [Français](https://www.dataloco.com/fr/deux-constructeurs-automobiles-exposes-par-des-identifiants-par-defaut-admin) - [Nederlands](https://www.dataloco.com/nl/twee-automerken-hadden-ongelooflijke-veiligheidsfout-met-standaardwachtwoord-admin) - [Polski](https://www.dataloco.com/pl/domyslny-login-i-haslo-administratora-w-systemach-dwoch-marek-samochodowych) - [עברית](https://www.dataloco.com/he/story-135) - [Português (Brasil)](https://www.dataloco.com/pt-br/falha-de-seguranca-em-duas-marcas-de-automoveis-permitia-controle-remoto-de-veiculos) - [Svenska](https://www.dataloco.com/sv/forvalta-inloggningsuppgifter-exponerade-tva-bilmarken-for-attacker)