Entrevista a Azucena Hernández CEO de Grupo CYBENTIA y de EUROCYBCAR
Centrada en la ciberprotección de las personas que viajan a bordo de un vehículo, en 2019, inventó el primer test del mundo que mide y certifica el nivel de ciberseguridad de un vehículo -auto, autobús, camión o furgoneta- según los estándares europeos de ciberseguridad para vehículos: UNECE/R155 y la ISO 21434, y utilizando la Tecnología ESTP -basada en la Metodología ESTP con patente internacional WO2021089890-. Esta tecnología permite también evaluar y certificar el nivel de ciberseguridad de Apps e Infraestructuras de Movilidad, Sistemas de Gestión de la Ciberseguridad -CSMS- y Sistemas de Gestión de Flotas.
Gracias a la Tecnología ESTP inventada por ella, se emitió el primer Certificado de Ciberseguridad del mundo a un vehículo en mayo de 2022 y se logró que, en junio de 2024, las motocicletas, scooters y bicicletas eléctricas también fueran incluidas en la normativa UNECE/R155.
Con más de 30 años de experiencia conduciendo y probando vehículos y sistemas tecnológicos en circuitos y carreteras de todo el mundo, ha creado y dirigido proyectos empresariales con revistas líderes en kiosco del sector del motor -como Car&Driver, El Mundo del Automóvil o Autofácil, entre otras- y de la Seguridad Nacional -ONE Magazine- y Ciberseguridad -ONE Hacker-. De hecho, en 1998, se convirtió en la primera mujer en el mundo directora de un medio de comunicación de motor.
La inventora de esta metodología única en el mundo está considerada una de las 100 mujeres más influyentes en ciberseguridad, en el libro ‘Hacking Gender Barriers: Europe's Top Cyber Women’ y ha sido incluida en tres listas de Forbes: “21 Changemakers a seguir en 2021”, “24 Changemakers a seguir en 2024” y “35 españolas líderes en tecnología en 2024”, además de ser una de las “30 mujeres referentes en la ciberseguridad en España” - LISA NEWS, marzo de 2025-.
En el ámbito empresarial ha sido también pionera, ya que siendo periodista -licenciada en Ciencias de la Información-, ha fundado dos empresas referentes en el ámbito de la ciberseguridad y la Movilidad: Grupo CYBENTIA, que cuenta con el primer medio de comunicación digital del mundo especializado en Ciberseguridad y Automoción: HackerCar y ofrece los primeros cursos de formación especializada en Ciberseguridad aplicada a Automoción/Flotas de Vehículos; y EUROCYBCAR, empresa tecnológica, referente internacional de la evaluación y certificación del nivel de ciberseguridad de los vehículos.
Todo comenzó haciéndome una pregunta: ¿cómo se sabe si un coche es ciberseguro y si protege de forma adecuada la privacidad de los pasajeros que viajan a bordo y, lo que es más importante, sus vidas?... tras investigar en España, en Europa y en el mundo, descubrí que nadie tenía la respuesta a esa pregunta, así que decidí pasar a la acción y, en 2017, diseñé el primer test en el mundo que mide y certifica el nivel de ciberseguridad de los vehículos y que, desde 2019, cuenta con una patente internacional.
… Y, ‘por culpa’ de ese invento comencé una ‘carrera’ repleta de curvas y cambio de rasante, en la que llevamos casi siete años invirtiendo sobre todo mucho tiempo y esfuerzo -sin contar con la inversión en I+D+i- para desarrollar la Tecnología ESTP, una innovadora plataforma modular que permite realizar un proceso estandarizado, objetivo y automatizado de análisis, evaluación y certificación del nivel de ciberseguridad de vehículos, aplicando la Metodología ESTP y según los ejemplos de requisitos que marca la normativa UNECE/R155 y la ISO 21434.
Siempre insisto en que el auto que circula por nuestras carreteras es un gran ordenador con ruedas que está expuesto a todo tipo de virus y, por tanto, al ataque de un cracker… y, por eso, siempre defiendo que se debería proteger, como mínimo, de la misma forma que se protege un móvil o un ordenador personal o de empresa… Porque en un vehículo viajan personas y no sólo está en juego su privacidad, sino algo mucho más importante: sus vidas.
Los vehículos que circulan por nuestras carreteras, como mínimo, disponen de Bluetooth, USB, WiFi, eCall, GPS… Y ¿qué puede hacer un cracker al explotar dichas tecnologías -si no están suficientemente protegidas-? Robar el coche, infectarlo con un virus, activar el airbag, espiar al conductor y a los pasajeros del vehículo, obtener datos personales almacenados en su interior, parar el motor, activar o desactivar el cierre centralizado, hacer un seguimiento de las rutas que realiza a diario ese vehículo... Incluso, es posible que, a través de una operación tan sencilla, como cargar la batería del móvil a través del puerto USB del vehículo, si éste no está bien ciberprotegido, se puede estar introduciendo un virus en ese vehículo que podría llegar a paralizarlo en marcha.
En el caso de los automóviles eléctricos, la situación se agrava. En el laboratorio de pruebas de EUROCYBCAR -situado en Vitoria-Gasteiz- se ha comprobado que en algunos vehículos eléctricos se pueden modificar los parámetros del Sistema de Gestión de la Batería -o BMS-, provocando una descarga eléctrica que podría originar el incendio del vehículo.
Por suerte, en Europa, los fabricantes de vehículos conectados deben cumplir con la normativa de ciberseguridad para vehículos UNECE/R155 que entró en vigor en tiempo récord al considerar la ONU que la situación era suficientemente grave, ya que los ciberataques a los vehículos ya son una amenaza real que existe desde el año 2012 y que cada año incrementa su alcance.
Desde el 6 de julio de 2024, la UNECE/R155 -la normativa europea de ciberseguridad para vehículos-, obliga a que los autos, camiones, autobuses, furgonetas y autocaravanas -que se fabriquen o vendan en Europa- implementen unas medidas mínimas de ciberseguridad que protejan tanto la privacidad, como la vida del conductor y de los pasajeros, así como la integridad del vehículo. En el caso de las motos, scooters y bicicletas eléctricas que circulen a más de 25 km/h la normativa será de obligado cumplimiento a partir del año 2029.
Este reglamento afecta a los fabricantes de vehículos y de componentes, pero, también, a usuarios, gestores de flotas, aseguradoras, peritos, talleres de mecánica, carroceros, transformadores, concesionarios, administraciones públicas… porque la ciberseguridad en la movilidad es ya una tarea en la que todos estamos implicados.
Por eso, otros países que no pertenecen a la UNECE, como la India, ya han generado una normativa propia que toma como referencia la normativa europea, ya que los objetivos que marca son globales -igual que lo son las ciberamenazas- y que, por tanto, son de aplicación para cualquier país del mundo.
En el caso de Chile, desde enero de 2025, es de aplicación la Ley Marco de Ciberseguridad en la que se hace referencia al Transporte terrestre, a la gestión de dichos servicios de transporte terrestre y al Transporte de Combustible, pero aún no se ha desarrollado la legislación específica que debe aplicarse en el ámbito de la ciberseguridad para los vehículos. Por tanto, en estos momentos, existe una alta probabilidad de que los vehículos que no consigan ser ciberseguros para Europa acaben en mercados en los que la legislación sea menos restrictiva, como es el caso de Chile… y no debemos olvidar que esos vehículos que podrían llegar a Chile serán utilizados por Cuerpos Policiales, empresas de Transporte Público o de Mercancías, pero, sobre todo, por ciudadanos chilenos que podrían estar poniendo en riesgo su vida, viajando en vehículos que no son ciberseguros.
Sería un sinsentido que los ciudadanos chilenos viajasen a bordo de vehículos que en Europa se han retirado del mercado porque no son ciberseguros… Por tanto, preveo que en Chile no se tardará mucho tiempo en desarrollar una legislación propia sobre ciberseguridad y automoción/movilidad, a partir de la Ley Marco de Ciberseguridad y tomando como referencia la UNECE/R155 -tanto en su aplicación, como en los procesos de implementación-.
En ese futuro -no muy lejano- es donde Grupo CYBENTIA puede ayudar en la creación e implementación de una normativa de ciberseguridad en movilidad, porque creo que podemos aportar mucho a la sociedad chilena, consiguiendo que esa nueva normativa cumpla con el objetivo más importante: proteger la vida de las personas que viajan a bordo de un vehículo.
La Tecnología ESTP -EUROCYBCAR Standard Test Protocol- es una innovadora plataforma modular, única en el mundo, que permite realizar un evaluación estandarizada, objetiva y automatizada y certificar si “de verdad” ese vehículo cumple con los requisitos que establece la UNECE/R155 y la ISO 21434.
Para evaluar los vehículos, la Tecnología ESTP realiza tres tipos de pruebas: Acceso físico -a través del OBD, el puerto USB o cualquier otra conexión física-, acceso remoto -sistema keyless, WiFi, Bluetooth o GPS, por ejemplo- y aplicaciones que incorpora el vehículo o que puede descargarse el usuario en un dispositivo móvil y que le permite controlar, de forma remota, diferentes funcionalidades como la calefacción, la ubicación o la apertura y cierre de puertas.
Una vez finalizado el proceso de evaluación, la Tecnología ESTP emite un informe en el que se incluyen tanto los sistemas y tecnología del vehículo que han superado el proceso de evaluación -y, por tanto, cumple con los requisitos de ciberseguridad que establece la UNECE/R155-, como la tecnología que no ha superado dicho proceso. Además, en ese informe se incluyen las posibles mitigaciones que el fabricante deberá implementar para mejorar el nivel de ciberseguridad que ofrece el vehículo evaluado.
La Tecnología ESTP que evalúa y certifica la ciberseguridad de las Aplicaciones de Movilidad permite conocer el nivel de ciberseguridad que ofrecen las aplicaciones que incorporan los vehículos o que el propio conductor puede descargarse en su móvil para controlar, de forma remota, diferentes funcionalidades del vehículo: subir las ventanillas, geolocalizar el vehículo, conectar el sistema de calefacción… pero si esa aplicación no cumple con unos requisitos mínimos de ciberseguridad puede poner en riesgo la privacidad -los datos- de sus usuarios y, en algunos casos, la propia integridad del vehículo.
Uno de los casos más conocidos es el que sucedió, a finales de 2019, cuando un mecánico de motos australiano fue detenido por acosar a su expareja a través de la aplicación de Land Rover. ¿Qué hizo ese mecánico? De una forma sencilla, se descargó en su móvil la aplicación ‘In control remote’ creada por la propia marca y disponible de forma gratuita para dispositivos iOS y Android y la asoció al Land Rover de su novia, simplemente incorporando su código VIN.
En lo que se refiere al Test Integral de Sistemas de Gestión de Flotas, es el primer test en el mundo que evalúa y certifica el nivel de ciberseguridad de los Sistemas de Gestión de Flotas que utilizan empresas de logística, de transporte -tanto de personas como de productos-, de renting, car sharing o administraciones públicas -como los Carabineros- para controlar en tiempo real y de forma remota sus vehículos de flota. Con la Tecnología ESTP, se analizan la plataforma WEB -que gestiona y controla la información del Sistema de Gestión de Flotas-, las aplicaciones que utilizan los usuarios de los servicios de esa Flota y, por último, el dispositivo IoT que, implementado en el vehículo, actúa como emisor y receptor de la información que requiere el Sistema de Gestión de Flotas.
En este caso, el ciberataque más grande producido hasta la fecha y que afectó al sistema de control de flotas de miles de camiones en todo el mundo, fue el que sucedió en 2019, cuando un cracker -denominado L&M- accedió a más de 7.000 cuentas de usuarios de iTrack y a más de 20.000 cuentas de ProTrack, dos aplicaciones que utilizan las empresas de logística para monitorizar y gestionar las flotas de vehículos a través de los sistemas de seguimiento de GPS… El cracker fue capaz de conocer la geolocalización exacta de camiones en Sudáfrica, Marruecos, la India o Filipinas. Pero, lo más preocupante fue que, en algunos de los vehículos localizados, el software le permitía apagar sus motores de forma remota… aunque, por suerte, sólo si estaban parados o se desplazaban a una velocidad inferior a los 16 km/hora.
Para mí, uno de los grandes retos a los que se enfrenta un vehículo autónomo e inteligente es que para ser 100% ciberseguro debe cumplir con los más altos estándares y normativas de ciberseguridad, porque está en juego la privacidad y la vida de las personas…
De hecho, para que un vehículo autónomo pueda reducir al mínimo la intervención del ser humano, precisa de más tecnología, más sensores y una mayor capacidad de procesamiento intra/extra vehicular. Pues bien, si la implementación de toda esa tecnología no se hace de forma cibersegura, se traducirá en más puertas de entrada que puede aprovechar un cracker para robar el automóvil, espiar o, incluso, provocar un accidente.
Y no hay que olvidar que ese vehículo autónomo y ciberseguro tendrá que comunicarse con todo lo que le rodea: los peatones, los semáforos, las antenas de comunicaciones, otros vehículos… Es lo que se denomina comunicaciones V2X -del ‘Vehículo a Todo’-. Por tanto, esa comunicación va a necesitar contar con un mayor nivel de fiabilidad, algo que le aportará una red 5G, porque es fundamental que reciba información al instante de todo lo que le rodea, con la certeza de que los datos recibidos son correctos, lo que le permitirá tomar decisiones correctas por debajo de 2 milisegundos… eso sí, siempre y cuando el resto del ecosistema de la movilidad sea ciberseguro.
Ese es uno de mis grandes retos, de Grupo CYBENTIA y de CEA Chile: conseguir que los conductores y empresas chilenas y todos los agentes del ecosistema de movilidad de Chile, se conciencien de la importancia que tiene la ciberseguridad cuando se trata de los vehículos… El objetivo no es alarmar a la sociedad, sino mostrarles que un auto, un bus, un camión o una moto son grandes ordenadores que reciben, gestionan, almacenan y emiten una gran cantidad de datos personales y de nuestros viajes que, en caso de que no estén suficientemente ciberprotegidos, pueden poner en riesgo la privacidad de conductores y pasajeros y, sobre todo, la vida de los que viajan a bordo.
Pero, como he dicho anteriormente, la ciberseguridad en la movilidad es tarea de todos, porque, aunque exista una normativa en la que la ciberprotección de los vehículos recaiga en los fabricantes, debemos recordar que son las administraciones públicas las responsables de “vigilar” y verificar que los fabricantes están haciendo bien los deberes y obligar a que los vehículos cumplan los requisitos de ciberseguridad necesarios para proteger la vida de los pasajeros.
La integración de la ciberseguridad y la movilidad va a afectar a fabricantes y a proveedores, pero, también, a instituciones, empresas de logística, cuerpos policiales, centros de formación, abogados, peritos, mecánicos… Por eso, Grupo CYBENTIA ha creado cursos específicos para generar nuevas profesiones para este nuevo mundo de la movilidad cibersegura: “CyberPerito”, “CyberMecánico”, “Cuerpo Policial con Movilidad Cibersegura” …
Son programas de formación que marcan la diferencia, sobre todo en el mercado laboral, pero, también, tienen el objetivo de ayudar a ciberproteger a la sociedad y ampliar los conocimientos de quien la recibe.
La ciberseguridad ya no es una opción, es una necesidad para garantizar la seguridad de las personas y el buen funcionamiento de un sector en plena transformación y hay que estar preparados, porque es necesario contar con una sociedad formada y concienciada que sepa identificar y enfrentarse a las ciberamenazas que pueden aparecer al utilizar un vehículo.
Por todo lo anterior, se van a precisar especialistas en ciberseguridad aplicada a la automoción / movilidad en todos los sectores: comunicación, prensa, marketing, informáticos, ingenieros de automoción, CISOs, integrantes de fuerzas y cuerpos policiales, políticos, directivos de empresas con flotas de vehículos, peritos de aseguradoras…
En esa línea, Grupo CYBENTIA, ofrece en Chile el Curso de Ciberseguridad en las Flotas de Vehículos, fundamental para el sector de la logística y el transporte que implica a miles de personas, vehículos y empresas. Este curso, imprescindible para un sector vital de la economía, abarca desde cómo son los sistemas y tecnologías que se emplean en las flotas de vehículos hasta los detalles del control y gestión de su ciberseguridad, pasando por los riesgos a los que se exponen, así como aspectos legales y normativos.
Además, Grupo CYBENTIA también ofrece formación a mediada para Centros de Formación Profesional con el objetivo de desarrollar una nueva profesión de futuro: “el CyberMecánico”.
Y para quienes quieran recibir una formación que les ofrezca una alta cualificación en el ámbito de la ciberseguridad aplicada a la Movilidad, disponemos de un Máster de más de 500 horas de formación dirigido a aquellas empresas relacionadas con el mundo de la automoción y la logística.
La alianza estratégica de Grupo CYBENTIA y CEA Chile va a permitir el posicionamiento conjunto de ambas empresas como referentes en Chile y en el resto de Latinoamérica, dentro del ámbito de la ciberseguridad aplicada a la automoción/movilidad. De este modo, ya sea a través de una formación especializada o al disponer de servicios de consultoría a medida, las empresas y las administraciones públicas con flotas de vehículos van a poder disponer de una visión más global de la importancia de la ciberseguridad en el ámbito de la automoción, la logística y la movilidad.
A través de esta alianza, los automovilistas, las Universidades, las entidades públicas, los Carabineros y las empresas chilenas, podrán acceder a programas de capacitación en ciberseguridad, así como soluciones tecnológicas diseñadas para mitigar los riesgos asociados con la conectividad en las flotas de automóviles con el objetivo de obtener el Certificado de “Empresa con Movilidad Cibersegura” que les permita aportar un gran valor a los servicios de movilidad que ofrecen a sus clientes y usuarios.
La alianza entre Grupo CYBENTIA y CEA Chile responde a la creciente necesidad de fortalecer, de forma urgente, la ciberseguridad de los vehículos y las flotas de vehículos del país, dentro del contexto de la transformación tecnológica que está sufriendo el mundo del transporte terrestre.
El número de vehículos conectados que recorren las calles y carreteras chilenas crece cada día… pero esa conectividad, no sólo conlleva nuevas tecnologías y mayores capacidades para los autos, los camiones o los autobuses. También aparecen nuevas vulnerabilidades que, en ocasiones, pueden llegar a ser críticas y que convierten a los vehículos en potenciales objetivos de ciberataques. Es ahí donde la experticia en ciberseguridad avanzada, análisis de riesgos y soluciones técnicas de Grupo CYBENTIA y el profundo conocimiento del ecosistema automotriz y de las necesidades del mercado de CEA Chile van a marcar una diferencia real, al ofrecer servicios de consultoría a medida, protocolos de respuesta ante ciberincidentes y programas de formación específicos para empresas y entidades con flotas de vehículos.
Porque cuando esos vehículos pertenecen a una flota de sectores como la logística, el transporte público, los cuerpos policiales y de emergencia, y la industria minería pasan a convertirse en servicios esenciales, por lo que, en caso de ser vulnerados, comprometerían directamente la continuidad operativa y la seguridad pública, sin contar con el impacto económico y reputacional que representaría para la empresa o la institución pública.
Por eso, Grupo CYBENTIA y CEA Chile pueden convertirse en un pilar fundamental para la recién creada Agencia Nacional de Ciberseguridad, que ha pasado a ser un actor clave para articular nuevos marcos normativos de ciberseguridad que van a afectar al transporte terrestre y a la movilidad conectada. La alianza entre Grupo CYBENTIA y CEA Chile va a poder aportar a la Agencia un conocimiento técnico y legislativo especializado, que permita el desarrollo de estándares y reglamentos con el objetivo de promover una cultura de la ciberseguridad adaptada a las necesidades el país.
En definitiva, los servicios proactivos y especializados que ofrecerán Grupo CYBENTIA y CEA Chile están llamados a convertirse en una herramienta esencial para grandes operadores, organismos públicos y sectores estratégicos como la minería, la seguridad, el transporte urbano y las fuerzas del orden.
