Las balizas V16, los modelos más vendidos en España, presentan graves fallos de seguridad que exponen a los usuarios a ataques, afectando a unas 250.000 unidades vendidas según un experto en ciberseguridad.

• Varios modelos de baliza v16 que han vendido 250.000 unidades en España tienen varias vulnerabilidades serias que te exponen a ataques, según un experto de ciberseguridad.

Las balizas V16 serán obligatorias para todos los conductores en España a partir del 1 de enero de 2026, un cambio importante para evitar los accidentes al salir del coche a colocar los triángulos tras sufrir un accidente, pero su llegada está siendo enturbiada por problemas como las falsificaciones y los modelos no homologados.

No obstante, incluso las balizas v16 que sí están homologadas y están entre las más vendidas en nuestro país pueden entrañar riesgos, como acaba de advertirse ahora, lo que nos recuerda que la ciberseguridad afecta a cualquier dispositivo, incluso a los menos pensados.

Help Flash IoT es uno de los modelos de estas luces de emergencia conectadas más populares, con más de 250.000 unidades vendidas en España. Lanzado en 2023, su fabricante es la empresa española Netus Solutions e incluso se ha comercializado a través de Vodafone.

Ahora, Luis Miranda Acebedo, ingeniero de telecomunicaciones y cofundador de Vigo SC Robotics, ha analizado la seguridad de este dispositivo y ha denunciado a través de Github la presencia de varias vulnerabilidades graves que exponen a los usuarios y sus datos.

Aunque no tengas este modelo en concreto, deberías seguir leyendo, porque según el experto muchos de estos problemas se repiten en muchas de las balizas v16 que se venden en España en estos momentos, ya que técnicamente su funcionamiento suele ser similar.

Los riesgos de seguridad de las balizas v16

Las balizas V16 conectadas, como la Help Flash IoT, están diseñadas como dispositivos de Internet de las Cosas (IoT) para comunicarse en tiempo real con la infraestructura DGT 3.0 y mejorar la seguridad vial. Sin embargo, la investigación expuso vulnerabilidades críticas en la implementación de la seguridad.

El riesgo principal radica en que el dispositivo envía datos sensibles, como las coordenadas GPS exactas, el identificador único (IMEI) y otros parámetros, sin utilizar mecanismos de seguridad esenciales. Esto compromete la privacidad del usuario al permitir el rastreo potencial de su ubicación durante una emergencia y facilita la suplantación de la identidad del dispositivo, ya que el servidor no puede verificar si el mensaje es auténtico.

Uno de los problemas de seguridad más básicos es la ausencia de cifrado en las comunicaciones. Toda la información que la baliza envía a los servidores del fabricante viaja en texto plano a través de la red NB-IoT. Los fabricantes se apoyaron en una medida de seguridad conocida como APN privado (una red aislada de Vodafone) para argumentar que los datos estaban protegidos por estar fuera del internet público.

No obstante, según Miranda Acebedo, esta medida es insuficiente, ya que la conexión a esta red puede ser vulnerada. La exposición de los parámetros de conexión y la falta de autenticación entre el dispositivo y el servidor convierten las protecciones en una barrera fácilmente franqueable por un atacante con conocimientos intermedios.

El riesgo de las comunicaciones sin cifrar se vuelve crítico a través del vector de ataque de la Estación Base Falsa o Fake eNodeB. Este ataque utiliza hardware de bajo coste (como un Software Defined Radio - SDR) y software libre para montar una torre de telefonía móvil LTE simulada. Al bloquear las frecuencias legítimas del operador, el atacante puede forzar a las balizas cercanas a conectarse a su torre falsa.

Esto permite 2 modalidades de ataque: una simple, que causa una Denegación de Servicio (DoS) al impedir que las alertas lleguen a la DGT 3.0 y permite el espionaje de ubicaciones; y una más avanzada de Man-in-the-Middle (MitM), que permite interceptar y manipular los datos en tránsito, como enviar coordenadas GPS falsas o inyectar tramas arbitrarias.

La vulnerabilidad más grave es el mecanismo de actualización de firmware Over-The-Air (OTA). Al pulsar un botón durante 8 segundos, esto habilita una conexión WiFi para actualizar el software interno. Este proceso carece de seguridad elemental: no utiliza HTTPS ni requiere una firma digital que verifique la autenticidad del firmware.

En esencia, cualquier atacante que consiga acceder a este modo (por ejemplo, en un taller malicioso o desplegando un punto de acceso WiFi falso) puede instalar un firmware propio y tomar el control total y permanente del dispositivo.

Por último, un firmware malicioso instalado a través del canal OTA permite que un atacante lance los ataques que antes requerían acceso físico: acceder al APN privado, suplantar a otras balizas y enviar falsas alarmas masivas al sistema DGT 3.0.

Para el usuario final, el riesgo no solo es la violación de su privacidad (rastreo remoto), sino también que su dispositivo, obligatorio por ley y diseñado para la seguridad, pueda convertirse en un ladrillo inútil en caso de emergencia, o peor aún, en un vector para desestabilizar la infraestructura crítica de seguridad vial de España mediante la saturación de servicios.