¿Se podría llegar a controlar un avión hackeando sus sistemas de vuelo?

Las compañías aéreas actualizan la aviónica de sus aviones de manera regular.

A pesar de esto, diversos expertos afirman que existen evidencias que demuestran que ha habido intentos de hackear los sistemas de vuelo de algunas aeronaves.

El 15 de Abril de 20015, a bordo de un Boeing 737 se encontraba el pasajero Chris Roberts, el cual y en un espacio de tiempo de apenas unos pocos minutos lograría acaparar la atención del FBI y la CIA.

Roberts, un «héroe» de la comunidad hacker, comenzó a publicar mensajes en las redes sociales afirmando que había logrado acceder al sistema de control del avión en el que viajaba.

Después de su detención y del gran revuelo formado, tanto las agencias de seguridad estadounidenses como la propia Boeing confirmarían que se trataba de una broma de mal gusto, aprovechando además para asegurar que no era posible acceder desde un dispositivo móvil a los sistemas de control de una aeronave en pleno vuelo.

Sin embargo, al mismo tiempo que se proclamaba la total seguridad de los programas informáticos utilizados a la hora de volar, los dos grandes fabricantes de aviones a nivel mundial estaban gastando importantes sumas de dinero para blindarse ante posibles hackers.

Desde que el 787 «Dreamliner» anunciase en 2006 que pondría a disposición de sus pasajeros un sistema de conexión a internet, tanto ICAO como el Departamento de Gobierno de los EEUU han estado recordando a las aerolíneas la necesidad de implementar un mayor control sobre los dispositivos electrónicos que se utilizan dentro de la cabina de un avión, con el fin de impedir la descarga de programas o aplicaciones potencialmente dañinas.

Estas advertencias tomaron un carácter de mayor gravedad en 2017, tras la expansión de un virus informático conocido con el nombre de NotPetya, que afectó muy seriamente a diversas infraestructuras estratégicas de Ucrania y especialmente al sector marítimo en Dinamarca.

Maerks, el gigante del transporte marítimo a nivel mundial, perdía en 48 horas más de 300 millones de dólares por culpa de este malware.

La verdadera señal de alarma para el sector aeronáutico se dio en el año 2018 durante la celebración del Black Hat, uno de los congresos sobre seguridad informática más prestigiosos, celebrado en Las Vegas (EEUU).

Uno de los participantes demostró que el sistema SATCOM utilizado en las cabinas de algunos aviones, presentaba puntos vulnerables que podrían ser aprovechados por piratas informáticos.

En la edición de Black Hat correspondiente a 2019, celebrada durante el mes de Agosto, diversos expertos en la materia aseguraron que si bien todavía nadie había logrado acceder a los sistemas de control de un avión en pleno vuelo, existían pruebas evidentes que demostraban que sí se habían producido diversos intentos.

Además, se localizaron y denunciaron diversas páginas que ofertaban a través de internet supuestos códigos de acceso que, en teoría, permitirían romper las barreras de seguridad de algunos programas utilizados por los pilotos de las aerolíneas comerciales.

Esta situación obligó a ICAO (Organización de Aviación Civil Internacional) a publicar en Octubre de 2019 una serie de directrices para que las compañías aéreas se adelantasen a posibles intentos de hackeo dentro de sus aparatos.

Una de las primeras medidas que se implementó en ciertas aeronaves, fue la instalación de un detector de peso ubicado en el tren de aterrizaje principal, el cual sirve para determinar si el aparato se encuentra en tierra o está volando.

En el preciso instante en el que el avión levanta sus ruedas del suelo, los sistemas informáticos de a bordo no permiten la descarga de ningún tipo de aplicación o actualización de software, evitando de esta manera que alguien pueda instalar un programa malicioso durante el trayecto.

Las aerolíneas y los fabricantes de aeronaves, a través de la RTCA (Radio Technical Commission for Aeronautics), han acordado establecer 3 dominios separados dentro de los sistemas informáticos de los aviones e-Enabled.

Uno de ellos es el que se corresponde con los controles del aparato, el cual también facilita información sobre diversos parámetros mecánicos durante el vuelo.

Obviamente, es el más protegido de los tres por su vital importancia. A día de hoy, nadie ha logrado penetrar de manera no autorizada en el mismo.

El segundo es el Flight Information Service (FIS), que proporciona información meteorológica, sobre aeropuertos y también avisos relacionados con restricciones, prohibiciones, o alertas que puedan surgir en un momento determinado.

En este segundo dominio es en el que se han detectado varios intentos de hackeo, ninguno de los cuales pudo culminar su propósito.

El tercero es el Passenger Information and Entertainment Service, a través del cual los pasajeros acceden a las películas y vídeos almacenados en el sistema de entretenimiento a bordo de cada compañía aérea.

Cada uno de estos dominios es independiente y cuenta con sus propios sistemas de seguridad.

De acuerdo a la información facilitada por Joel Otto, ejecutivo de la empresa Collins Aerospace, el sistema de aviónica de las aeronaves comerciales se actualiza de manera regular, impidiendo de este modo accesos no autorizados que podrían comprometer la seguridad a bordo.

Según Otto, las vías de datos corren siempre en una única dirección hasta llegar a la cabina de los pasajeros, pero desde esta no se pueden redireccionar.

Cada dominio cuenta con firewalls y múltiples capas de protección, lo que obligaría a un posible hacker a tener que romper una a una todas ellas si quiere acceder al corazón del sistema, algo que a día de hoy nadie ha conseguido.

De todas formas, en el mes de Octubre del año pasado la U.S. Government Accountability Office acusaba a la FAA (Administración Federal de Aviación) de «no proporcionar suficiente supervisión para protegerse contra los riesgos de ciberseguridad en evolución que enfrentan los sistemas de aviónica en aviones comerciales».

La oficina estatal norteamericana está especialmente preocupada por este problema, lo que demuestra la realidad del mismo y los potenciales riesgos que entraña.

El pasajero que en 2015 era detenido tras publicar que había conseguido acceder a los controles de un Boeing 737, acabó fundando una empresa de ciberseguridad en la ciudad de Denver (la cual a fecha actual se encuentra en proceso de quiebra) y actualmente desempeña labores de consultor en la firma HillBilly Hit Squad.

En todo caso, nos parece muy importante destacar que la carrera virtual que se ha creado entre piratas informáticos y compañías aéreas, de momento se decanta hacia el lado de estas últimas, lo que nos permite subirnos a un avión sabiendo que los sistemas vitales que controlan el mismo están protegidos de la manera adecuada contra todo tipo de interferencias ajenas.