Cambiar arbitrariamente la película que ven los pasajeros de un avión, mover las butacas de los privilegiados de primera clase, apagar de repente todas las luces, hacer sonar a Rick Asley por la megafonía. Estan son algunas de las bromas que un hacker podría poner en práctica en un avión que use el Sistema de Entretenimiento Avionics de Panasonic. Lo ha descubierto el investigador leonés Rubén Santamarta (https://es.linkedin.com/in/rubensantamarta) y la empresa Panasonic está muy enfadada.

Vuelo Dubai-Madrid. En el silencio espeso de la cabina de clase Turista un hacker teclea en su ordenador. Parece estar trabajando para aprovechar el tiempo, como hacen otros pasajeros, pero en realidad está entrando en los mismísimos sistemas de la aeronave. Nadie está en peligro, aunque esto solo lo sabe él. Si le descubren, posiblemente habrá un gran pánico. Con increible sangre fría, el hacker se graba a sí mismo hackeando el avión. Más tarde lo subirá a Youtube. (https://www.youtube.com/watch?v=dqji2JSg_tw)

"Mi conciencia está tranquila, no estaba haciendo nada malo, solo buscando una película con un nombre un poco raro", sonríe Rubén Santamarta. Pero no: estaba hackeando de forma consciente el Sistema de Entretenimiento Panasonic Avionics del avión, usado por al menos 13 compañías aéreas en todo el mundo, entre ellas Aerolíneas Argentinas, Virgin o AirFrance. La española Iberia lo usó en el pasado y no está claro si también ahora.

Santamarta entró en el sistema del avión de forma limpia, asegura: "Ni por WiFi ni forzando ningún conector RJ45, todo a través del sistema instalado en el propio asiento". Una vez dentro descubrió diversos defectos que quizás habrían provocado tanto o más pánico entre los pasajeros que el mismo hecho de la presencia del hacker.

Un ejemplo sería el mapa interactivo donde se muestra a los pasajeros la velocidad, ruta y altitud del avión. Esta información, explica Santamarta, "se envía sin cifrar ni autentificar, por tanto un atacante con acceso a la red podría falsificarla, haciendo creer a los pasajeros que están siguiendo una ruta diferente o volando a una altitud que no es la real".

El Sistema de Entretenimiento tiene además un módulo que permite a la tripulación de cabina, entre otras cosas, gestionar las luces o los anuncios de audio que se mandan a los pasajeros. Dice Santamarta: "Controlando un nodo dentro de la red, el atacante podría enviar falsos mensajes por megafonía o controlar las luces de cabina". Juntando incidentes como estos, "se podrían crear situaciones incómodas a bordo", explica el hacker.

El Sistema de Entretenimiento de Panasonic tiene también bajo su responsabilidad la verificación y almacenaje de las tarjetas de crédito de las personas que hacen compras durante el viaje en avión. Según Santamarta, sería posible engañar al sistema para que creyese que alguien había pagado una transacción sin ser cierto, o también robar los números de las tarjetas de crédito de los pasajeros.

Por último, el Sistema de Entretenimiento es autónomo del sistema de control de la aeronave a nivel de pilotaje de la misma, pero según cómo lo hubiese implementado la compañía aérea existiría el peligro de que un hacker pudiese saltar de un sistema a otro. De todas formas, Santamarta aclara que es una posibilidad "remota, en algunos casos totalmente imposible".

El hacker leonés descubrió este agujero en los Sistemas de Entretenimiento Avionics de Panasonic durante un viaje a Dubai. Al hacer pruebas, el sistema le devolvió un mensaje de error que le dio pistas para, una vez en tierra, buscar el software vía Google y descargarlo de sitios públicos. Esto de por sí ya es una gran vulnerabilidad, porque pudo hacer pruebas con él y descubrir los agujeros que después explotó en el viaje de vuelta a Madrid.

Rubén trabaja en la conocida empresa de seguridad IOActive, donde entre otros se ha especializado en seguridad en aviones. Descubrió este problema hace dos años y avisó a Panasonic, a través de IOActive, en marzo de 2015. Pero la multinacional se limitó a cerrar el acceso público al software y también a los investigadores que lo habían denunciado, de forma que no pudieron verificar si lo había solucionado.

A principios de diciembre de 2016, Santamarta dio a conocer el caso por primera vez, en la convención CyberCamp (https://www.youtube.com/watch?v=E-_8CKnXSQI) y, más tarde, a la comunidad internacional, mediante un artículo en la web de IOActive donde pueden verse los vídeos que grabó en pleno vuelo (http://blog.ioactive.com/2016/12/in-flight-hacking-system.html).

Las revelaciones de Santamarta han armado gran revuelo en medios de comunicación de todo el mundo, mientras Panasonic emitía un comunicado (https://www.runwaygirlnetwork.com/2016/12/20/press-statement-panasonic-hits-back-ife-system-security-claims/) quitándole importancia. Según Panasonic, es una "falsa alarma", todo lo que se dice es "teórico" e "hipotético", la información sobre las tarjetas de crédito es "incorrecta" y la vulnerabilidad ya se arregló en 2015, solo que no avisaron a IOActive de ello.

Según Santamarta, "en seguridad, teórico no significa imposible. El comunicado de Panasonic está basado más en la repercusión que ha tenido en la prensa (que en su mayor parte han exagerado gravemente) que en los datos técnicos presentados". Por cierto que, como dato curioso, Santamarta explica en su artículo que tiene miedo a volar y una forma de tranquilizarse fue investigar cómo funcionaba la seguridad de los aviones.

Mercè Molist