Olvidaron las llaves digitales en la app y la hicieron pública: fiasco de Tata Motors

Los secretos para acceder a los servicios automotrices de Tata Motors estaban directamente dentro de las aplicaciones móviles. El servicio indio de respuesta a incidentes informáticos CERT-In el 4 de noviembre advirtió sobre cuatro vulnerabilidades en iRA 2.0 e iRA.ev. Los errores permitían extraer claves de servicio, obtener tokens de autorización y, en determinadas condiciones, actuar en nombre del propietario del vehículo.

La aplicación iRA 2.0 está destinada a vehículos con motor de combustión interna, mientras que iRA.ev atiende a los vehículos eléctricos. A través del teléfono inteligente, los propietarios obtienen información sobre los viajes, el estado del vehículo y el funcionamiento de sus sistemas, y también envían comandos remotos. Son vulnerables iRA 2.0 en la versión 26.7.3 y anteriores, así como iRA.ev en la versión 26.7.2 y anteriores.

La falla más peligrosa, CVE-2026-121144 con una puntuación de 8,8 según CVSS 4.0, está relacionada con el almacenamiento de credenciales directamente en el paquete de instalación. En su interior se encontraban las credenciales de cuentas de servicio, claves API y tokens de acceso. Un tercero podía descargar la aplicación, extraer los secretos sin autorización e intentar acceder a los servicios en la nube de Tata Motors con privilegios ajenos.

La segunda vulnerabilidad, CVE-2026-121145 con una puntuación de 7,1 según CVSS 4.0, afectaba a WebView, el componente integrado para mostrar páginas web. Las aplicaciones no verificaban suficientemente las direcciones ni el origen del contenido cargado. Una página maliciosa podía obtener un token de sesión válido, tras lo cual el atacante potencialmente obtenía acceso a los datos y a las funciones del vehículo conectado.

El problema CVE-2026-121146 recibió 6,8 puntos según CVSS 4.0. Las aplicaciones registraban tokens de autorización en los registros de depuración. Un atacante con acceso local a esos registros podía extraer los tokens e intentar hacerse pasar por el usuario. A diferencia de la extracción de claves incluidas, este tipo de ataque requiere acceso a los registros de un dispositivo concreto.

Otra falla, CVE-2026-121147 con una puntuación de 8,5 según CVSS 4.0, debilitaba la verificación del certificado del servidor. Debido a una configuración incorrecta del mecanismo de certificate pinning, las aplicaciones no podían asegurarse de forma fiable de que se comunicaban con la infraestructura del fabricante. Con la posibilidad de interceptar el tráfico de red, un atacante podría leer o modificar los datos transmitidos.

Los defectos encontrados afectaban no a las unidades de control electrónico del vehículo, sino a las aplicaciones y a la comunicación con el servidor. CERT-In describió el posible acceso a información del vehículo, a funciones conectadas y la modificación de datos con privilegios de propietario. El organismo no presentó casos confirmados de hackeos a vehículos. Anteriormente, un estudio sobre telemática mostró qué volumen de datos envían los vehículos a través de las aplicaciones y la nube.

CERT-In recomendó actualizar iRA 2.0 a la versión 26.8.2 y iRA.ev a la 26.9.1. Tata Motors Passenger Vehicles el 5 de noviembre declaró que las actualizaciones obligatorias se publicaron ya en agosto y septiembre de 2026 y están instaladas en todos los usuarios activos. El fabricante se está poniendo en contacto con el resto de clientes y afirma no haber encontrado indicios de acceso no autorizado a credenciales, información personal ni datos sobre los vehículos.