El progreso tecnológico ha elevado la eficiencia y automatización de la aviación moderna, pero también ha dado paso a un mayor riesgo de ciberataques. Un nuevo informe elaborado por expertos de Kaspersky ICS CERT advierte sobre fallos reales en sistemas digitales de aviónica que revelan vulnerabilidades estructurales que podrían ser explotadas mediante ataques cibernéticos.
Entre los casos analizados se incluye un accidente fatal de un Boeing 747 de carga en 2004, atribuible a un fallo en una aplicación de cálculo de despegue, y múltiples incidentes en aeronaves modernas como el Boeing 787 y Airbus A350, donde errores de software exigieron apagar completamente los sistemas del avión para evitar fallos catastróficos.
En su informe, Kaspersky explica que los sistemas digitales de un avión se dividen en tres grandes áreas. La primera es el dominio del pasajero, que incluye el Wi-Fi a bordo y el sistema de entretenimiento. La segunda es el dominio del piloto, que abarca dispositivos como tablets personales y herramientas digitales utilizadas en cabina. Finalmente, está el dominio de aviónica, que controla funciones críticas como el piloto automático, la navegación y la comunicación con tierra. Aunque este último está diseñado bajo altos estándares de seguridad, los otros dos pueden servir como puerta de entrada si no están adecuadamente aislados, como lo demuestran ejercicios de penetración realizados por investigadores.
Uno de los riesgos más subestimados, según el informe, radica en el uso de dispositivos comerciales (COTS) como tablets personales para navegación. Estas Electronic Flight Bags (EFBs), basadas en plataformas como iOS, han protagonizado incidentes importantes como uno ocurrido en 2015, cuando un error en una aplicación de navegación dejó en tierra a 74 vuelos. Incluso se han detectado vulnerabilidades en apps como Flysmart+, que podrían permitir manipular datos de navegación o cálculo de peso y despegue.
En 2016, investigadores en ciberseguridad demostraron que podían acceder a sistemas de un Boeing 757 de forma remota, usando solo laptops y equipos de radio. No fue necesario tener contacto físico con el avión. Aunque no se ha confirmado que un ciberataque haya causado un accidente hasta la fecha, Kaspersky advierte que ya existen las condiciones técnicas para que esto ocurra.
Actualmente, muchos sistemas de aviónica utilizan componentes comerciales y están conectados a redes internas basadas en protocolos IP. Si no se aíslan correctamente ni se protegen con firewalls o mecanismos de verificación, estos sistemas quedan expuestos a posibles intrusiones.
“La creciente complejidad tecnológica en los sistemas aeronáuticos amplía significativamente la superficie de ataque. Hoy, incluso errores en aplicaciones de soporte pueden interrumpir operaciones, generar retrasos masivos o comprometer la seguridad de vuelo. Si una simple falla de software puede dejar un avión en tierra o afectar un sistema crítico en pleno vuelo, entonces es evidente que los riesgos digitales ya forman parte del entorno operativo. Estos riesgos no son hipotéticos ni lejanos: son reales, crecientes y deben ser gestionados con la misma rigurosidad que cualquier otro factor que impacte la seguridad aérea”, afirma Eduardo Chavarro, director del Grupo de Respuesta a Incidentes y Forense Digital para Américas en Kaspersky.
A pesar de este panorama, estos riesgos pueden abordarse de forma efectiva si se actúa con anticipación. Con estrategias de ciberseguridad, es posible reducir la exposición de los sistemas digitales y proteger tanto a la tripulación como a los pasajeros. La implementación oportuna de medidas técnicas y organizativas permite mantener la operación segura, incluso en un entorno cada vez más digitalizado.
Para evitar estas vulnerabilidades, los expertos de Kaspersky recomiendan:
- Diseño seguro desde el inicio (Secure-by-Design): incorporar la ciberseguridad desde las primeras fases del desarrollo, asegurando que sistemas críticos estén preparados para resistir ataques digitales y reducir al mínimo los posibles puntos débiles.
- Segmentación estricta de sistemas a bordo: mantener separados los sistemas del pasajero, cabina y aviónica mediante firewalls, controles de acceso y redes independientes, para evitar que una falla en un área afecte otras funciones esenciales del avión.
- Control riguroso de dispositivos comerciales en cabina: establecer políticas de uso seguro para tablets y laptops utilizados por pilotos y técnicos, restringiendo el acceso a redes no seguras y limitando la instalación de aplicaciones a fuentes verificadas. Además, aplicar soluciones de protección de endpoint (EPP) en sistemas operativos compatibles, como estrategia basada en la detección de amenazas conocidas y comportamientos inusuales. Esto representa una ventaja para técnicos y operadores que utilizan dispositivos que se comunican con el dominio de aviónica de las aeronaves.
- Actualización segura de software crítico: validar y distribuir todas las actualizaciones mediante canales confiables, evitando así la introducción de código malicioso o versiones inestables en sistemas sensibles.
