Contraseña por defecto admin:admin permitió arrancar coches

Dos investigadores entraron por la puerta principal de los sistemas de inicio de sesión de dos fabricantes de coches y salieron —en sentido digital— con la capacidad de desbloquear puertas, encender las luces, hacer sonar el claxon y arrancar motores de vehículos conectados en Australia y Estados Unidos. La llave maestra no era un fallo de día cero. Según The Hacker News, era una consola de administración de la plataforma de identidad ForgeRock que seguía aceptando la contraseña de fábrica: admin:admin.

Shubham Shah, cofundador de Assetnote, y el investigador Sam Curry publicaron el trabajo a finales de la semana pasada, como informó The Register. Ambos fabricantes, que pidieron mantenerse en el anonimato y lo consiguieron, habían construido el inicio de sesión de sus aplicaciones móviles sobre ForgeRock, una plataforma de identidad ahora propiedad de Ping Identity. El dúo notificó los fallos a comienzos de 2026 y, según la cronología de divulgación de Curry, los agujeros se parchearon unas dos horas después de recibir el informe. Dos horas. Retén esa cifra: es toda la historia.

Dos cadenas de ataque, una misma moraleja

Empecemos por el ataque estadounidense, porque es el más vergonzoso. Ambas marcas autenticaban a sus clientes a través de ForgeRock, que funciona en dos partes: un front end de inicio de sesión y OpenIDM, el componente que almacena los registros de los clientes. OpenIDM incluye una consola de administración integrada basada en Apache Felix, y la guía de endurecimiento del propio ForgeRock indica a los operadores —desde hace años— que eliminen esa consola o cambien su contraseña antes de pasar a producción, porque guarda sus credenciales por separado del resto del sistema. En esos servidores de producción seguía instalada, seguía accesible y seguía usando el valor por defecto documentado: la palabra admin como usuario y como contraseña.

La consola no estaba expuesta directamente a internet; la protegía un firewall de aplicaciones web (WAF). Eso resultó ser un obstáculo menor, no un muro. El edge y el software Java que había detrás interpretaban la misma URL de forma distinta, de modo que, añadiendo barras codificadas y caracteres extra, los investigadores lograron que el edge leyera la petición como un archivo estático inofensivo mientras el servidor de origen la leía como la ruta de la consola. Confusión de rutas clásica. Una vez dentro, usaron el planificador integrado del gestor de configuración de Felix para ejecutar un script Groovy en línea, que es una forma educada de decir que obtuvieron una shell en los servidores de identidad que guardaban los registros de clientes de ambas marcas. Shah afirmó que el ataque en EE. UU. «requirió mucho más trabajo» porque ese fabricante «dedicó mucho más tiempo a proteger los entornos de OpenIDM de EE. UU., Canadá y Europa». Saca tus propias conclusiones sobre lo que eso implica para el resto.

Desde una shell en el servidor de identidad, lo demás fue trámite. Los investigadores consultaron los endpoints de la API de administración local, cambiaron el correo electrónico y la contraseña de una cuenta objetivo, iniciaron sesión a través de la aplicación móvil habitual y recibieron los mismos tokens de acceso que obtiene la aplicación real. Esos tokens desbloquean puertas y arrancan motores. Lo demostraron con un coche de prueba y su propietario, que había dado su consentimiento, de pie junto a él; después detuvieron el motor y volvieron a cerrarlo.

La cadena australiana, detallada en un texto aparte de Shah, era distinta en el front end, pero idéntica en espíritu. Los investigadores obtuvieron el número de identificación del vehículo a partir de consultas públicas de matrículas, lo introdujeron en APIs internas y recuperaron datos personales y correos electrónicos de los propietarios. Después encontraron credenciales de administrador de OpenIDM codificadas en el código de la aplicación: credenciales pensadas para un entorno de staging que también funcionaban en producción. Tras saltarse lo que The Register describió como un filtrado intenso del WAF mediante fallos de recorrido de directorios, invocaron las APIs internas de administración, se hicieron con cuentas con solo una dirección de correo electrónico y generaron tokens de autenticación para enviar comandos arbitrarios a través de la aplicación.

Lo verdaderamente escalofriante es lo silenciosa que fue la toma de control. Cambiar el correo y la contraseña de la cuenta no desconectó al propietario de su propia aplicación, y los investigadores podían redirigir las alertas de la cuenta a su propio teléfono, manteniendo callado el del dueño. Restauraron el correo real después de la prueba. Si esto se hubiera hecho con malas intenciones, la primera pista del propietario sería una plaza de aparcamiento vacía.

Confirmado, afirmado y todavía desconocido

Ahora, la disciplina. Esta historia tiene mucho ruido, y como alguien que ha asistido a cientos de análisis posteriores a brechas, prefiero que sepas exactamente qué partes están probadas.

• Confirmado por demostración: la cadena completa —desde la toma de control de la cuenta hasta desbloquear el coche y arrancar el motor— funciona. Los investigadores la ejecutaron en febrero de 2026 en coches que eran suyos o para los que tenían permiso, con el propietario físicamente presente.
• Afirmado por los investigadores: podrían haber abierto una sesión en cualquier cuenta de cliente de los servidores afectados, y las dos cadenas juntas abarcaban coches en Australia, EE. UU. y Canadá. Dejaron claro que «probaron la cadena completa solo con cuentas y vehículos estadounidenses».
• Confirmado por la documentación del propio fabricante: la consola Felix y su contraseña por defecto llevan años documentadas, y la guía de endurecimiento para producción de ForgeRock ya indica que debe eliminarse o protegerse.
• Desconocido: si alguien malintencionado encontró esta vía antes de que se cerrara. Ninguno de los dos textos lo dice. También se desconoce cuándo se corrigieron los sistemas australianos: la publicación de Shah no da fecha, y la cifra de dos horas de remediación procede de la cronología de divulgación estadounidense.
• Especulación no verificada: la identidad de los fabricantes. Aficionados a los coches que estudiaron el vídeo de demostración de Shah, parcialmente difuminado, concluyeron que el retrovisor y el sonido de desbloqueo apuntaban a Toyota, con Lexus como segunda marca. Preguntado si era correcto, un portavoz de Toyota Motor Corporation no lo confirmó ni lo desmintió, según The Register. Eso es una no negación, no un nombre. Trátalo como tal.

¿Por qué importa la distinción? Porque aquí no hay ningún CVE ni un aviso del fabricante que seguir. Fue un fallo de configuración, no un error de producto, lo que significa que no hay parche que buscar, ni número de versión que comprobar, ni línea limpia que tu escáner de vulnerabilidades pueda cerrar. Tu exposición depende por completo de cómo tu equipo desplegó el software, y la única forma de saberlo es ir a comprobarlo. Es menos tranquilizador que un CVE, y por eso esta historia merece más atención que el típico aviso de gravedad crítica que se parchea solo dentro de una cola de tickets.

«Evidentemente, han pedido no ser nombrados, y aunque normalmente lucharíamos por incluir los nombres de las empresas, es una época muy ocupada en el mundo de la seguridad y no me gusta la idea de que desvíen recursos porque les preocupa algo de esta divulgación», explicó Curry, al justificar la inusual decisión de conceder el anonimato a los fabricantes.

Sigue el dinero: la solución de dos horas

Aquí está la aritmética que debería hacer estremecer a cualquier director financiero. La remediación —eliminar una consola, cambiar una contraseña, limpiar credenciales de una compilación, ajustar una regla de rutas— llevó unas dos horas desde que llegó el informe. Pongamos unos cientos de dólares de tiempo de ingeniería, siendo generosos. El control que habría evitado todo esto era leer una guía de endurecimiento que el fabricante ya había escrito, con un coste de aproximadamente una tarde de ingeniero durante el despliegue. Frente a eso, piensa en lo que estaba realmente en juego: acceso físico remoto a los vehículos de clientes en tres continentes, toma de control silenciosa de cuentas con las alertas redirigidas y los datos personales tras esas APIs internas. Si una banda criminal hubiera encontrado esto primero —y nada en ninguno de los dos relatos demuestra que no lo hiciera—, estaríamos hablando de robos, responsabilidades y una crisis de nivel de recall, en lugar de una demostración de investigadores.

He defendido este punto antes sobre la higiene de credenciales —la brecha de credenciales de ConnectWise encaja con él—, y seguiré haciéndolo hasta que deje de ser cierto: el control más barato de la seguridad es el que se aplica en el despliegue, y el más caro es el que se aplica después de la publicación. Estos fabricantes invirtieron dinero real en proteger su pila de identidad; Shah reconoció que el entorno estadounidense era notablemente más difícil de vulnerar. Compraron el WAF, gestionaron la plataforma y, claramente, pagaron a alguien para que pensara en ello. Y todo el edificio descansaba sobre una contraseña de consola que viene incluida en la documentación. Es la versión de gestión de identidades de comprar una caja fuerte y dejar la llave de repuesto bajo el felpudo, siendo el felpudo una URL en la que el edge y el servidor no estaban de acuerdo.

Una palabra sobre el WAF, porque algún proveedor usará esta historia para venderte uno. No caigas en la trampa. Ambas cadenas pasaron a través del WAF, no por su lado: dos veces, en dos entornos distintos, con la misma clase de truco, es decir, que el edge y el origen analizaban una ruta de forma diferente. Una regla de WAF que oculta una página de administración es una manta de consuelo. Si la página existe y responde a admin:admin, el único control honesto es eliminar la página o cambiar la contraseña. La confusión de rutas es una técnica conocida, aburrida y muy trillada, y aquí derrotó a dos despliegues empresariales separados.

Lo que tu consejo debería preguntar el lunes

Shah y Curry ya habían estado aquí antes: demostraron el acceso remoto a vehículos de Honda, Kia, Subaru y otros, atacando los sistemas web que hay detrás de las aplicaciones y no los propios coches. Ese es el patrón que los consejos deben interiorizar: el coche es tan seguro como el proveedor de identidad que tiene delante, y el proveedor de identidad es tan seguro como quien lo configuró. Si eres CISO y tienes que responder preguntas esta semana, olvida la diapositiva sobre actores de estados-nación. Nadie hizo nada exótico aquí. Haz mejor las preguntas aburridas, porque lo aburrido es donde están enterrados los cadáveres:

• ¿Cuándo auditamos por última vez nuestra pila de identidad frente a la guía de endurecimiento para producción del propio fabricante? No un marco genérico, sino la guía del fabricante.
• ¿Hay credenciales de staging, consolas o cuentas de servicio en cualquier parte de nuestro entorno de producción, y quién lo verificó mirando en lugar de confiar en una hoja de cálculo?
• Si un atacante obtuviera una shell en nuestros servidores de identidad, ¿qué le impediría reescribir los datos de recuperación de cuentas de clientes, y lo notaríamos siquiera?
• ¿Nuestras alertas de seguridad de cuentas se enrutan de forma que un secuestrador pueda redirigirlas en silencio?
• Cuando un tercero gestiona la identidad por nosotros, ¿qué nos permite realmente auditar nuestro contrato?

Esa última pregunta merece énfasis. ForgeRock es infraestructura empresarial básica en innumerables compañías, ahora comercializada como PingIDM, y el consejo de los investigadores para los equipos que la ejecutan es contundente: busca la consola Apache Felix en /system/console, elimínala o cambia su contraseña por defecto, y deja de confiar en las reglas de rutas del edge para ocultar las superficies de administración. Si tu capa de identidad está externalizada o gestionada, esta es la semana para ejercer los derechos de auditoría que tengas y pedir pruebas —no certificados de conformidad— de que las consolas de administración han desaparecido o están endurecidas.

Mi opinión: si usas ForgeRock o PingIDM, trata esto como una urgencia, porque la comprobación lleva minutos y el fallo implica la toma total de cuentas con consecuencias físicas. El resto debería verlo como una lección gratuita sobre el coste de oportunidad. Dos horas para arreglarlo. Años de advertencias documentadas. Una contraseña que el fabricante prácticamente suplicó que se cambiara. La distancia entre esas cifras es donde viven las brechas, y cerrarla no requiere una partida presupuestaria: requiere que alguien se lea el manual.