El patinete eléctrico de Xiaomi puede ser hackeado para que acelere o frene de repente

Siempre solemos hacer referencia a su papel en la circulación cuando hablamos de los peligros de usar el patinete eléctrico. Por eso, antes de montarnos en uno de estos vehículos deberíamos saber cómo circular con ellos por una ciudad sin morir en el intento.

A todos los riesgos que ya conocíamos ahora se le suma uno muy importante: algunos de los patinetes eléctricos más populares podrían ser fácilmente hackeados. Así lo ha revelado Zimperium, que ha demostrado mediante una investigación que el patinete de Xiaomi puede ser controlado de forma remota con tan solo un teléfono móvil.

Hackeos para controlar patinetes eléctricos

Zimperium es una firma de investigación de seguridad especialmente preocupada por lo que significa la creciente presencia del Internet de las cosas en la sociedad. Este concepto aporta muchas ventajas, pero también conlleva un serio riesgo en los dispositivos conectados a la red, aquellos que se encuentran en las casas inteligentes o simplemente lo que se llevan bajo los pies.

Exactamente, Zimperium sabe que los patinetes eléctricos pueden no ser tan seguros como sus fabricantes lo definen. Para mejorar la seguridad, esta empresa comenzó una investigación sobre el modelo M365 de Xiaomi, uno de los patinetes más populares del momento.

Una de las características más relevantes para las compañías que trabajan con este vehículo es el poder controlarlo a través de Bluetooth. Activar el modo eco o cambiar algunos detalles del sistema antirobo son solo dos de las varias funciones que se pueden manejar de forma remota en este M365.

Esa misma característica positiva es la misma que facilita que un hacker no tenga que complicarse mucho la vida para controlar este modelo de patinete de forma remota. Así lo ha demostrado la firma de seguridad en su investigación, que revela que la comunicación a través de Bluetooth da acceso al vehículo sin tener que usar la contraseña del usuario.

Xiaomi cuenta con una app móvil para que el usuario pueda controlar el patinete, y para la que es necesaria una clave. Supuestamente, esa información privada protege la seguridad del mismo de controles externos. Así es como debería ser, pero el estudio de la empresa de seguridad ha encontrado un fallo muy grave.

Zimperium ha descubierto que la contraseña no está siendo utilizada de la forma correcta en el sistema de autenticación del usuario, por lo que un pirata informático puede controlar los comandos del patinete sin que el conductor del mismo tenga conocimiento de ello hasta a 100 metros de distancia.

Como podemos ver en el anterior vídeo publicado por la firma, el hacker solo tiene que conectarse a través de Bluetooth al patinete eléctrico para introducir un malware que le permite controlar los comandos del mismo, lo que supone un auténtico riesgo para el conductor.

El vídeo revela cómo el atacante puede hacer que el patinete quede bloqueado en medio de un paso de peatones sin que lo sepa el usuario, que se queda atrapado en medio de la calle sin saber qué ha pasado. Como bien explica la firma de seguridad, quedar parado en medio del tráfico con el M365 puede ser mortal.

Xiaomi ya conoce los problemas de su patinete

Analizando los comandos de este modelo de patinete eléctrico, los investigadores de Zimperium averiguaron cómo podían bloquear cualquier vehículo similar, cómo podían instalar un malware para controlarlo de forma total y cómo podían entrar en el sistema de un patinete en concreto para provocar que este acelerase o frenase de forma repentina.

Los expertos de Zimperium han podido controlar el M365 de Xiaomi hasta a 100 metros de distancia

La empresa ha podido crear una herramienta informática capaz de acelerar el patinete, aunque no ha querido dar acceso a ella por motivos de seguridad. Lo que sí ha hecho es ponerse en contacto con Xiaomi para pasarle todos los datos obtenidos durante la investigación del M365.

Según ha explicado la propia Zimperium, la compañía china ya está al tanto de todo y trabaja para encontrar una solución que proteja la seguridad de sus clientes. Desgraciadamente, será Xiaomi la que tenga que lanzar una actualización para mejorar esos fallos, que no pueden ser solucionados por los propios usuarios por su complejidad.