Vulnerabilidades en los Sistemas de Seguimiento de Barcos

Secuestrar comunicaciones, crear barcos ficticios o difundir alertas falsas de colisión. Estas y otras acciones podrían perpetrarse por ciberdelincuentes, piratas y terroristas, aprovechando las vulnerabilidades en los Sistemas de Identificación Automática (AIS), instalados actualmente en unos 400.000 buques.

El equipo de investigación de la empresa de seguridad informática Trend Micro ha analizado estos Sistemas, utilizados en el rastreo y localización de buques en todo el mundo, con un resultado que pone de manifiesto la existencia de fallos que los hace vulnerable a potenciales ataques cibernéticos.

Más de 400.000 buques utilizan este sistema

El Sistema de Identificación Automática (AIS), es un sistema de seguimiento de buques obligatorio para todos los barcos comerciales (no pesqueros) de más de 300 toneladas métricas, así como para los buques de pasajeros, independientemente de su tamaño y peso.

Opera mediante coordenadas GPS e intercambia datos sobre la posición de un barco, su rumbo e información con los buques y las instalaciones de otros barcos cercanos en alta mar y en la costa.

Características de los ataques

Desde Trend Micro se ha detectado que los principales proveedores de Internet que recopilan información AIS, y que después distribuyen públicamente, tienen vulnerabilidades que permiten a un atacante alterar datos AIS válidos e inyectar datos AIS falsos.

Esta alteración les permite:

Modificar todos los detalles de un buque, desde la posición, al rumbo, carga, bandera del país, nombre, estado de la Identidad de Servicio Marítimo Móvil (MMSI), etc.

Crear naves falsas con los mismos detalles. Por ejemplo, un buque iraní que transporta un cargamento nuclear podría aparecer en la costa de Estados Unidos.

-Crear y modificar entradas de soluciones de Ayuda a la Navegación (AToN), como boyas y faros. Esto conduce a situaciones como el bloqueo de entrada a puerto de un barco, provocar que una nave pueda ser destruida, etc.

-Creación y modificación de las aeronaves de búsqueda y salvamento marítimo, tales como helicópteros y aviones ligeros. Por ejemplo, hacer que un helicóptero guardacostas realice una búsqueda y un despegue hacia un viaje de reconocimiento.

Los investigadores, también han descubierto defectos en la especificación actual del protocolo AIS utilizado por los transmisores hardware en todos los barcos obligatorios.

Así, junto a las amenazas anteriores, se ha demostrado la posibilidad de que se produzcan otros escenarios:

Suplantar a las autoridades marítimas para desactivar permanentemente un sistema AIS de un buque, obligando a la nave a que deje de comunicar su posición y de recibir notificaciones por AIS de todos los barcos que se encuentren en sus inmediaciones.

Esto también puede permitir etiquetar un área geográfica concreta, de forma que, por ejemplo, tan pronto como la nave entre en el espacio marítimo de Somalia desaparece de AIS, pero los piratas que llevan a cabo el ataque sí pueden ver la nave.

Fingir una baliza de emergencia de tipo “hombre al agua” en cualquier lugar que también activaría las alarmas de todos los buques que estén en un radio aproximado de 50 kilómetros.

Simular una alerta CPA (Punto de Aproximación más Cercano) y desencadenar una alerta de advertencia de colisión. En algunos casos, esto puede incluso hacer que el software del barco recalcule un curso alternativo para evitar la colisión, permitiendo al atacante dirigir físicamente a un barco hacia una dirección determinada.

-Enviar información meteorológica falsa a un barco, por ejemplo, avisar de la existencia de tormentas acercándose a su ruta.

-Provocar que todos los barcos envíen tráfico AIS con más frecuencia de la normal, lo que se traduce en un ataque que colapsa todos los buques y a las autoridades marítimas en el área.

Todo esto es posible debido a que “el protocolo de AIS fue diseñado sin tener en cuenta, aparentemente, consideraciones de seguridad”, dicen los expertos que, como mínimo, recomiendan “incorporar una nueva versión de AIS para incluir medidas de seguridad que defiendan las tres áreas principales de validez, autenticación y encriptación”.