Demuestran cómo hackear un avión con un dispositivo Android

La semana pasada se celebraba en Amsterdam la conferencia Hack in the Box, que reúne a expertos de seguridad de todo el mundo y que siempre genera noticias de los más curioso, como el hecho de que un terminal Android pueda ser utilizado para acceder a ciertos sistemas de control de un avión de pasajeros, y cambiar no sólo la dirección del mismo, sino estrellarlo contra el suelo.

Hugo Teso, consultor de Nruns AG –que recogió la notica en su blog, fue el responsable de poner los pelos de punta a los asistentes. Empezó presentando PlaneSploit, una aplicación desarrollada por el propio Teso y con la que podría tomar el control de ciertos sistemas de a bordo de un avión de pasajeros.

La presentación puso al descubierto los problemas de seguridad de Automated Dependent Surveillance-Broadcast (ADS-B), que es un sistema sobre el que ya se ha probado que no incorpora ni cifrado ni autenticación y que Estados Unidos exigirá que esté presente en todo avión para 2020.

Por otra parte, Aircraft Communications Addressing and Reporting System (ACARS), utilizado para intercambiar mensajes entre el avión y las estaciones a través de radio o satélite, tampoco tiene seguridad, de forma que cualquiera con conocimientos mínimos puede enviar e interceptar mensajes ACARS.

Por suerte Hugo Teso no es un terrorista, sino un experto en seguridad que únicamente quiere poner de manifiesto las enormes vulnerabilidades de los sistemas de vuelo, un detalle que en plena era de la ciberdelincuencia ya tenía que haber sido tenido en cuenta por las empresas. Su demostración se realizó en un entorno controlado, como no podía ser de otra manera, pero los métodos y efectos fueron exactamente los mismos que podrían haberse producido con un avión real.

Lo que hizo Teso fue una demostración práctica sobre cómo utilizar ACARS para subir datos al Flight Management System (FMS). Una vez dado este paso, el investigador fue capaz de manipular el modo piloto automático del avión y hacer que las máscaras de oxígeno de cayeran… o estrellar el avión. Y todo ello desde un dispositivo basado en Android y sin necesidad de un acceso físico al avión, en remoto.

Como no podía ser de otra manera,  las autoridades de la aviación aseguran que no puede hacerse los que el experto de seguridad demostró en el evento. A través de un comunicado, la FAA ha dicho que las vulnerabilidades explotadas por Hugo Teso sólo existen en la versión de entrenamiento para PC del software, de forma que en ningún momento podría secuestrarse un avión para estrellarlo.