Ciberseguridad de los aviones: pasado, presente y futuro

Con la mayoría de los procesos de aviación ahora digitalizados, las aerolíneas y la industria de la aviación en su conjunto deben priorizar la ciberseguridad. Si un ciberdelincuente lanza un ataque que afecta a un sistema relacionado con la aviación, ya sea el sistema de una aerolínea o el de un proveedor externo, todo el proceso, desde la seguridad hasta la comodidad de los pasajeros, puede verse afectado.

Para mejorar la seguridad en la industria de la aviación, la FAA propuso recientemente nuevas reglas para reforzar la ciberseguridad en los aviones. Estas reglas "protegerían el equipamiento, sistemas y redes de aviones, motores y hélices de categoría de transporte contra interacciones electrónicas intencionales no autorizadas (IUEI) que podrían crear riesgos de seguridad". Si se aprueban, los cambios afectarán a toda la industria, incluidas las aerolíneas, los proveedores externos y los pasajeros.

Los ataques de ciberseguridad y las brechas de datos afectaron a todos los sectores de la industria aeronáutica durante las últimas décadas. Entre los incidentes notables se incluyen la violación de datos de Cathay Pacific , que afectó a más de 9 millones de pasajeros, y la violación de datos de SITA en 2021 a afiliados a viajeros frecuentes, principalmente afiliados a Star Alliance y OneWorld. El sitio web del aeropuerto de Los Ángeles fue víctima de un ataque de denegación distribuida del servicio (DDoS) que dejó su sitio web fuera de línea durante varias horas.

“La realidad es cruda: nuestra industria de la aviación está bajo la amenaza constante de los ciberataques, un 74 % más desde 2020. Dado que el sector de la aviación contribuye con más del 5 % de nuestro PIB, 1.9 billones de dólares en actividad económica total y apoya 11 millones de empleos, tenemos que despertar y tomar en serio estas amenazas cibernéticas de la aviación”, dijo la senadora U.S. Maria Cantwell en una Audiencia del Congreso del 18 de septiembre, 2024.

En general, la industria de la aviación recibe actualmente una calificación B, según el reporte The Cyber Risk Landscape of the Global Aviation Industry, 2024 . Los investigadores descubrieron que las organizaciones que obtuvieron una calificación B tenían 2.9 veces más probabilidades de ser víctimas de filtraciones de datos que aquellas con una calificación A, lo que ilustra el gran impacto de diferencias aparentemente pequeñas. Los ataques de ransomware siguen siendo una amenaza principal, y una investigación reciente de Bridewell encontró que el 55% de los tomadores de decisiones cibernéticas de la aviación civil han admitido haber recibido un ataque de ransomware en los últimos 12 meses. Cuando se les preguntó sobre el impacto, el 38 % informó interrupciones operativas y el 41 % dijo que su organización perdió datos.

Ted Theisen, director general de la práctica de ciberseguridad de FTI Consulting, dijo que el uso prolífico de equipamiento heredado/existente y sistemas en la industria de la aviación carece de las características necesarias para protegerlos, como la instalación de actualizaciones críticas y la compatibilidad con nuevos protocolos. Debido a que la industria de la aviación a menudo subcontrata servicios a terceros, los proveedores pueden acceder a sistemas y redes, introduciendo así vulnerabilidades.

“La fuerza laboral distribuida y los sistemas distribuidos crean una superficie de ataque ampliada que aumenta los puntos de acceso que pueden ser explotados por los actores de amenazas”, dice Theisen. “Esta configuración dispersa hace que sea un desafío proteger los sistemas, monitorear las amenazas de ciberseguridad y mitigar el acceso no autorizado”.

Mientras que la ciberseguridad de la aviación se centra en vulnerabilidades y ataques a todos los sistemas implicados en la aviación, el enfoque de las nuevas normas está en la ciberseguridad del avión en sí. Cada vez que un dato, desde la ubicación del vuelo hasta una alerta sobre un problema de mantenimiento, se envía desde un avión a una red, corre el riesgo de ser violado por un tercero.

Debido a que los datos se envían continuamente desde cada avión en vuelo, una gran cantidad de datos críticos están en riesgo cada día. La Asociación Nacional de Aviación Empresarial informó que el router en las aeronaves que proporciona conectividad a la tripulación y pasajeros proporciona una vulnerabilidad máxima, especialmente si la contraseña del router no se cambia regularmente.

La FAA expuso que el cambio en la forma en que los aviones, junto con sus motores y sistemas de hélice, están cada vez más conectados a redes y servicios de datos internos o externos fue un factor clave en las nuevas reglas. Los diseños interconectados hacen posible que una vulnerabilidad provenga de una variedad de nuevas fuentes, incluyendo computadoras portátiles de mantenimiento, redes públicas y teléfonos celulares. Como resultado, los reguladores y los profesionales del sector deben vigilar más de cerca los sistemas para detectar amenazas a la ciberseguridad.

Desde 2009, la FAA ha estado emitiendo cada vez más "condiciones especiales" relacionadas con la ciberseguridad. Estas son regulaciones temporales para un caso específico que tratan estas nuevas vulnerabilidades. El Director Ejecutivo del Servicio de Certificación de Aeronaves de la FAA, Wesley Mooty, declaró que cada una de estas desconexiones se suma a la complejidad, costo y tiempo de certificación tanto para el solicitante como para los reguladores. Como resultado, la FAA propuso un paquete normativo que cubre las condiciones especiales de ciberseguridad más comunes para estandarizar los criterios de dirección de amenazas de ciberseguridad, lo que reducirá los costos y el tiempo de certificación.

Las nuevas reglas propuestas establecen que los solicitantes de certificaciones de productos deben asegurarse de que el equipamiento, sistemas y redes de cada avión estén protegidos contra IUEI que puedan tener un efecto adverso en la seguridad del avión.

Estos son los requisitos para proteger los activos tal como se describen en la documentación oficial de la FFA:

1. Identifique todas las condiciones de amenaza asociadas con el sistema, la arquitectura y las interfaces externas o internas, incluida la gravedad del riesgo en los activos asociados, como los sistemas y la arquitectura.
2. Analice estas vulnerabilidades para determinar la probabilidad de explotación.
3. Mitigar las vulnerabilidades, como instalar mecanismos de protección de una o varias capas o controles de procesos para proteger.

Si bien el objetivo de las nuevas normas es estandarizar los criterios de ciberseguridad, se espera que también tengan efectos adicionales. A menos que un producto se actualice y deba volver a certificarse, las nuevas reglas solo afectan a los productos nuevos, no a los productos actualmente en el mercado. Debido a que cada producto ya no debe esperar una consideración especial por problemas de ciberseguridad, es probable que las aprobaciones sean más rápidas, lo que significa que los nuevos productos llegarán al mercado más rápido.

Además, las reglas propuestas pueden afectar indirectamente la experiencia del pasajero. Cuando ocurre un incidente de ciberseguridad, la aerolínea, el aeropuerto o los proveedores externos suelen desconectarse, lo que provoca retrasos. Con procesos estandarizados de ciberseguridad y vulnerabilidades reducidas, es menos probable que los pasajeros se vean afectados por incidentes relacionados con la cibernética.

"La implementación de reglas de ciberseguridad más estrictas también puede resultar en mayores costos operativos para las aerolíneas, lo que podría afectar los precios de las tarifas aéreas", dice Itay Glick, vicepresidente de OPSWAT, una empresa de soluciones de ciberseguridad. "Si bien los pasajeros pueden tener una Experiencia con costos de boletos ligeramente más altos a medida que las aerolíneas transfieren los gastos de cumplimiento, el principal beneficio de estas nuevas regulaciones será una mayor seguridad".

Mientras las reglas propuestas pasan por el proceso de comentarios y aprobación, las organizaciones de aviación, incluidos aeropuertos, proveedores externos y aerolíneas, deben comenzar a planificar las nuevas pautas. Debido a que las nuevas reglas impondrán estándares más estrictos, Glick dice que las organizaciones deben enfocarse en sus protocolos de ciberseguridad, evaluaciones de seguridad y estrategias de respuesta a incidentes.

"Para prepararse para estos cambios, las aerolíneas deben realizar evaluaciones de riesgos integrales para identificar vulnerabilidades e invertir en capacitación en ciberseguridad para que los empleados mejoren su conciencia y capacidades de respuesta", dice Glick. “Además, los requisitos para tecnologías avanzadas como la detección de amenazas y la protección de endpoint son cruciales. Para evitar cualquier requisito de respuesta a incidentes, las aerolíneas necesitarían mejorar proactivamente su postura de seguridad para evitar un ataque exitoso”.