VicOne publica su Informe de Ciberseguridad Automotriz 2026 — y el mensaje es claro: tu filtración ya no es solo tuya
Existe una ficción cómoda en ciberseguridad: cuando algo sale mal, se queda dentro de tus paredes. Tu brecha. Tu plan de respuesta a incidentes. Tu equipo forense limpiando el desastre. Esa ficción acaba de ser demolida.
El Informe de Ciberseguridad Automotriz 2026 de VicOne, titulado Crossroads: Automotive Cybersecurity in the Overlap Era, publicado el 11 de febrero de 2026, documenta lo que los CISOs automotrices han sentido en su interior durante los últimos dieciocho meses: los incidentes cibernéticos en el ecosistema de vehículos conectados ya no respetan los límites organizacionales. Se propagan. Se encadenan. Afectan al OEM, al proveedor de nivel 1, al proveedor de la nube y al consumidor final en una sola campaña. Y las estructuras de gobernanza de la industria —diseñadas para un mundo donde «nuestra red» significaba algo— no están a la altura.
Las cifras cuentan la historia sin adornos. VicOne registró 610 incidentes de seguridad relacionados con automoción y 1.384 vulnerabilidades en 2025. Los incidentes multirregionales y entre empresas se triplicaron año tras año, representando 161 de esos casos. Los costos por filtración de datos entre enero y octubre de 2025 alcanzaron los 6.600 millones de dólares. No son errores de redondeo. Es una transformación estructural en la forma en que funciona el riesgo cibernético automotriz.
5 conclusiones clave
- Los incidentes cibernéticos automotrices han roto los silos organizacionales. 610 incidentes y 1.384 vulnerabilidades en 2025. Los casos multirregionales y entre empresas se triplicaron a 161. El costo de filtración de datos fue de 6.600 millones de dólares. Los ataques ahora abarcan TI empresarial, la nube y sistemas dentro del vehículo en una sola campaña. Kiteworks ofrece gobernanza unificada en todos los canales de datos, con un registro de auditoría consolidado que captura cada interacción sin importar el límite.
- El vehículo es ahora la principal superficie de ataque — y contiene los datos más sensibles de tus clientes. Los sistemas dentro del vehículo superaron a la TI empresarial como objetivo principal de ataques (39,7% vs. 37,7%). Sistemas de infoentretenimiento, gateways y ECUs gestionan contactos, ubicación, grabaciones de voz y tokens de cuenta. Se prevé que los datos del cockpit se conviertan en palanca para ransomware. Los controles de acceso basados en atributos de Kiteworks aplican protección centrada en los datos en cada límite de confianza.
- Cumplimiento «queso suizo»: la cobertura regulatoria total aún deja huecos. ISO/SAE 21434, UN R155, IEC 62443, ISO 15118-20 y NIST IR 8473 dejan huecos persistentes donde los dominios se cruzan. Ningún estándar cubre toda la superficie de ataque. Kiteworks ofrece plantillas preconfiguradas para más de 50 marcos de cumplimiento con aplicación de políticas en tiempo real, cerrando la distancia entre controles documentados y controles aplicados.
- La cadena de suministro de software es la nueva puerta de entrada para los atacantes automotrices. VicOne recomienda SBOMs y AI BOMs como activos de cumplimiento y la sustitución de evaluaciones de riesgo estáticas por «Dynamic TARA» basada en eventos. El WEF sitúa la visibilidad de la cadena de suministro como una de las principales preocupaciones. Los registros auditables, controles basados en roles y arquitectura de cifrado reforzada de Kiteworks gobiernan cada intercambio de datos con proveedores.
- La rendición de cuentas a nivel de junta directiva ya está aquí — los líderes de seguridad necesitan evidencias, no excusas. El CEO de VicOne, Max Cheng, confirma que la ciberseguridad es un tema de junta directiva. Las juntas preguntan: ¿Cuál es nuestra exposición regulatoria? ¿Qué datos están protegidos? ¿Qué ocurre en una brecha que cruza límites? Kiteworks ofrece paneles de cumplimiento listos para ejecutivos en más de 50 marcos, con cifrado validado FIPS 140-3 y arquitectura de confianza cero que respalda lo que reportas.
Bienvenido a la Era de la Superposición: donde todo se conecta con todo
El concepto central de VicOne —la «Era de la Superposición»— refleja una realidad que va mucho más allá de la automoción. Describe un periodo en el que las plataformas de vehículos tradicionales siguen en servicio a escala global mientras los vehículos definidos por software, los ecosistemas conectados a la nube y las funciones que aprenden y se adaptan se implementan al mismo tiempo. Vehículos, servicios backend, TI empresarial e infraestructura externa están estrechamente integrados por diseño. Sin embargo, la propiedad y gobernanza de la ciberseguridad suelen seguir fragmentadas.
La consecuencia práctica: un atacante que compromete una API en la nube puede llegar a los sistemas de control del vehículo. Una debilidad en el backend de actualizaciones OTA de un proveedor de nivel 2 puede desencadenar riesgos de seguridad y privacidad para flotas enteras. Una vulnerabilidad en la consola de gestión de una estación de carga de vehículos eléctricos puede exponer la identidad del cliente, metadatos de facturación y datos de sesiones de carga de cientos de miles de usuarios.
Esta es la misma dinámica de interconexión que describe el WEF Global Cybersecurity Outlook 2026 en todos los sectores: una nueva generación de incidentes cibernéticos que expone la fragilidad de las conexiones digitales, donde una sola falla local o un ataque dirigido puede desencadenar rápidamente consecuencias a gran escala. La diferencia en automoción es que las consecuencias pueden ser físicas. Cuando el sistema atacado viaja a velocidad de autopista con una familia dentro, el riesgo va más allá de la gobernanza de datos.
El vehículo es ahora el objetivo principal — y lo sabe todo sobre ti
Uno de los hallazgos más impactantes del informe es un punto de inflexión: los sistemas dentro del vehículo han superado a la TI empresarial como la mayor área de ataque observada, con un 39,7% frente a un 37,7%. No es un cambio marginal. Es una reorientación de dónde los atacantes ven el valor.
Los componentes más atacados dentro del vehículo —infoentretenimiento y head units, redes internas y gateways, ECUs y software embebido— son también los sistemas que gestionan o intermedian los datos personales más sensibles: contactos, historial de ubicación, grabaciones de micrófono y voz, datos de teléfonos emparejados, destinos de navegación y tokens de cuenta. El informe describe estos sistemas como hubs de integración donde convergen entradas de usuario y servicios externos. En términos de privacidad, son capas de agregación de datos con superficies de ataque en expansión.
VicOne identifica tres vectores de riesgo específicos en este ámbito. Primero, el ecosistema de apps de terceros —incluyendo integraciones de Android Automotive y CarPlay— introduce riesgo en la cadena de suministro mediante código no verificado que puede recolectar datos de ubicación y micrófono. Segundo, las apps complementarias y las APIs backend sufren fallos de autenticación, autorizaciones rotas a nivel de objeto y vulnerabilidades de inyección que permiten exposición de datos entre inquilinos. Tercero —y este es el que debería quitar el sueño a los responsables de privacidad— el informe predice que los datos del cockpit se convertirán en palanca para ransomware, con atacantes amenazando con exponer comportamiento de conducción e información personal.
El Informe de Ciberseguridad OT/ICS 2026 de Dragos documenta un patrón paralelo en entornos industriales: grupos de amenazas como VOLTZITE ya no solo recolectan datos de redes TI, sino que interactúan directamente con dispositivos de tecnología operacional y roban datos de sensores y operaciones. La convergencia es clara: tanto si proteges una red eléctrica como un vehículo conectado, los atacantes buscan los datos más valiosos —y cada vez más están en el edge, en los propios sistemas físicos.
Infraestructura de carga de vehículos eléctricos: la superficie de ataque en expansión que nadie controla
El informe dedica atención significativa a la infraestructura de carga de vehículos eléctricos como fuente creciente de exposición cibernética. Las estaciones de carga conectan vehículos, servicios backend, aplicaciones móviles y la red eléctrica a gran escala. Procesan identidad del cliente, datos de sesiones de carga, metadatos de facturación y pago, y telemetría operativa. Y las vulnerabilidades que documenta VicOne —saltos de autorización y fallos de inyección— pueden escalar entre clientes y flotas.
El problema de cumplimiento aquí es agudo. VicOne compara múltiples estándares con la seguridad de la carga de vehículos eléctricos y concluye que ningún estándar cubre toda la superficie de ataque. ISO 15118-20 asegura las comunicaciones entre el vehículo y el cargador, pero no cubre completamente sistemas operativos, planos de gestión o firmware. IEC 62443 aborda la seguridad de control industrial pero deja huecos en componentes TI. ISO/SAE 21434 se centra principalmente en la ingeniería de ciberseguridad del vehículo. UN R155 menciona áreas fuera del vehículo, pero la infraestructura de carga solo se cubre de forma indirecta. NIST IR 8473 sirve como referencia integradora, pero no es un artefacto de conformidad en sí mismo.
En resumen: marcar todas las casillas de cumplimiento en estos estándares no garantiza que hayas cubierto las rutas reales de ataque —especialmente las que cruzan límites entre cargador, nube y vehículo. Para las organizaciones que gestionan datos sensibles en entornos regulatorios igual de fragmentados, este patrón resulta familiar. Kiteworks lo soluciona ofreciendo gobernanza unificada en todos los canales de comunicación de datos, con reportes de cumplimiento automatizados que asignan controles a requisitos regulatorios específicos, en vez de tratar el cumplimiento como un ejercicio aislado y desconectado de la seguridad operativa.
Cuando el asistente de IA del coche se convierte en un canal de phishing
El informe introduce un patrón de riesgo al que llama inyección de contenido mediada por asistente, donde un asistente de IA dentro del vehículo puede ser manipulado para mostrar enlaces maliciosos, números de teléfono o destinos a través de listados, anuncios o metadatos manipulados. Como el asistente opera como una interfaz de alta confianza —los conductores esperan que sea autoritativo— se convierte en un canal de ingeniería social nativo del vehículo.
Si el asistente puede iniciar acciones —llamadas, navegación, pagos— el riesgo se extiende a la integridad de transacciones y consentimiento del usuario. Es el equivalente automotriz de un problema que el mundo de la seguridad de datos empresariales lleva tiempo enfrentando: ¿qué pasa cuando una interfaz confiable procesa contenido no confiable y el usuario no puede distinguir la diferencia?
El WEF Global Cybersecurity Outlook 2026 recoge esta dinámica a nivel industrial: solo el 40% de las organizaciones evalúan la seguridad de las herramientas antes de implementarlas, y la distancia entre quienes lo hacen y quienes no lo hacen se correlaciona directamente con los niveles de resiliencia. El Secure MCP Server de Kiteworks ofrece un modelo de cómo debe funcionar la gobernanza confiable pero verificada: cada operación de un agente externo —incluyendo aplicaciones basadas en LLM— está sujeta a controles de acceso basados en roles y atributos, con registros auditables integrales de cada interacción. El principio aplica tanto si el agente es un chatbot corporativo como si es el asistente de voz de un coche: confía en la interfaz, verifica la acción, registra todo.
Qué deben hacer ahora los CISOs automotrices —y cualquier CISO en un ecosistema conectado
Pasa de la seguridad basada en sistemas a la gobernanza multidominio. El informe recomienda una gobernanza que asigne propiedad clara y rutas de escalamiento, y mida el riesgo por servicio, flota y radio de impacto —no por componente individual. Como los incidentes abarcan TI, nube, vehículo e infraestructura de carga, el modelo de gobernanza debe estar a la altura. Kiteworks ofrece esta gobernanza multidominio para datos confidenciales: aplicación unificada de políticas en todos los canales de comunicación, con un solo registro de auditoría consolidado que elimina los vacíos de visibilidad que crean las herramientas fragmentadas.
Haz la evaluación de riesgos continua, no periódica. VicOne propone reemplazar las evaluaciones de riesgo estáticas por «Dynamic TARA» basada en eventos, activada por cambios de código, actualizaciones de SBOM, divulgaciones de zero-day e inteligencia de amenazas. Esto se alinea con el cambio industrial hacia el cumplimiento continuo en vez de la preparación para auditorías periódicas. La aplicación de políticas en tiempo real y la recolección automatizada de evidencias de Kiteworks ofrecen exactamente eso: prueba continua de que los controles están activos, no solo documentados.
Trata los SBOMs y AI BOMs como activos de cumplimiento. La trazabilidad es fundamental para auditorías, investigaciones de incidentes y responsabilidad de proveedores. Las organizaciones necesitan visibilidad en tiempo real de la cadena de suministro de software, no inventarios estáticos. Los registros auditables integrales de Kiteworks —que rastrean cada archivo, usuario y acción en cada canal— proporcionan el modelo de trazabilidad que la industria automotriz ahora exige para los componentes de software.
Refuerza cada límite de confianza donde fluyen datos personales. El informe recomienda mayor seguridad de memoria, aislamiento de privilegios, validación de entradas y monitoreo conductual continuo para sistemas de infoentretenimiento e IA. Son los mismos principios que aplica Kiteworks a los datos empresariales: arquitectura de confianza cero donde todas las direcciones IP están bloqueadas por defecto salvo las permitidas explícitamente, firewalls de red integrados, detección de intrusiones y claves de cifrado gestionadas por el cliente que aseguran que ningún tercero pueda acceder a datos protegidos.
Equipa a las juntas directivas con evidencias, no con paneles llenos de alertas. El WEF informa que los miembros de juntas en organizaciones altamente resilientes asumen responsabilidad personal por brechas cibernéticas casi tres veces más que en organizaciones poco resilientes (30% frente a 9%). Las juntas quieren saber: qué porcentaje de datos confidenciales está cifrado, qué controles se aplicaron y qué requisitos regulatorios se cumplen. Kiteworks ofrece estado de cumplimiento en más de 50 marcos, visualización de postura de riesgo de datos y automatización de reportes regulatorios que genera registros del artículo 30 del GDPR, informes de auditoría HIPAA, notificaciones de incidentes NIS2 y evidencias CMMC —en el lenguaje que las juntas pueden usar para actuar.
El riesgo multidominio exige gobernanza multidominio
El mensaje central del informe VicOne 2026 es que los resultados de privacidad y cumplimiento ahora dependen de la gobernanza de ciberseguridad multidominio. El riesgo de exposición de datos no vive solo donde se almacena información personal identificable. Surge donde vehículos, servicios en la nube, pipelines OTA, sistemas de concesionarios, cadenas de suministro de IA e infraestructura de carga de vehículos eléctricos se cruzan —a menudo a través de límites regulatorios y casi siempre entre organizaciones.
No es un problema exclusivo de la automoción. Es el mismo riesgo sistémico que el WEF identifica en todas las industrias interconectadas. Es la misma vulnerabilidad de la cadena de suministro que enfrentan los CISOs de servicios financieros, salud, manufactura e infraestructura crítica cuando no pueden garantizar la integridad del software, hardware y servicios de terceros que fluyen por sus ecosistemas.
Las organizaciones que gestionarán este riesgo de forma efectiva son las que dejan de gobernar la seguridad en silos y empiezan a gobernarla en cada dominio donde se mueven datos sensibles. Kiteworks es la plataforma que lo hace operativo: gobernanza unificada de datos, aplicación de políticas en tiempo real, registros auditables integrales, reportes ejecutivos que prueban el cumplimiento y una arquitectura de cifrado que asegura que la seguridad que reportas es la seguridad que realmente existe.
La Era de la Superposición no es una fase. Es la condición operativa permanente para cualquier organización cuyos datos, sistemas y socios estén interconectados. La pregunta no es si tu programa de seguridad enfrentará riesgos multidominio. La pregunta es si tu infraestructura de gobernanza está preparada para gestionarlos.
Para descubrir cómo Kiteworks puede ayudarte, agenda una demo personalizada hoy mismo.
Preguntas frecuentes
ISO/SAE 21434 exige que las organizaciones implementen un sistema de gestión de ciberseguridad que cubra la evaluación de riesgos (TARA), el análisis de amenazas en la fase conceptual y el monitoreo posterior al desarrollo durante todo el ciclo de vida del vehículo. Su hueco: es centrado en el vehículo y no regula los backends en la nube, la infraestructura de carga de vehículos eléctricos ni los ecosistemas de apps de terceros. Cuando un ataque cruza de la API de una app complementaria a los sistemas del vehículo, el cumplimiento de 21434 en el lado del vehículo no aborda el origen de la exposición. Los registros auditables multidominio y la aplicación unificada de políticas cubren lo que 21434 deja sin gobernar.
Dynamic TARA reemplaza la evaluación de amenazas puntual por análisis activados por eventos —ejecutándose automáticamente en fusiones de código, cambios en SBOM, divulgaciones de zero-day y actualizaciones de inteligencia de amenazas. La TARA estática falla porque los vehículos definidos por software reciben actualizaciones OTA continuas, lo que significa que la superficie de ataque cambia entre evaluaciones. Una vulnerabilidad divulgada al día siguiente de una TARA estática no se evaluará hasta la siguiente revisión programada —posiblemente meses después— dando a los atacantes una ventana estructural. El registro de auditoría continuo y la aplicación de políticas en tiempo real ofrecen el equivalente para la gobernanza de datos.
Las apps complementarias almacenan tokens OAuth de larga duración que otorgan acceso al estado del vehículo, historial de ubicación, comandos remotos y datos de cuenta. La autorización rota a nivel de objeto —cuando los endpoints de API no verifican que el usuario solicitante sea el propietario del recurso— permite exposición entre inquilinos a gran escala: una cuenta comprometida puede enumerar datos de otros usuarios a través del mismo endpoint. A diferencia de los exploits dentro del vehículo que requieren proximidad física, las fallas de API son explotables remotamente y en volumen. Son los mismos patrones de abuso de tokens documentados por Unit 42 en entornos SaaS empresariales —misma arquitectura, mismo riesgo de cadena de suministro, exposición de datos personales a escala de vehículo.
Los datos de cockpit —historial de ubicaciones, grabaciones de voz, contactos, comportamiento de conducción, información de dispositivos emparejados— constituyen datos personales bajo el GDPR, CCPA y marcos equivalentes. La exfiltración no autorizada activa obligaciones de notificación de brechas, independientemente de si el atacante cifra los sistemas. Bajo el GDPR, hay una ventana de notificación a la autoridad supervisora de 72 horas. Para los operadores de flotas que procesan datos de conducción de empleados, la exposición se extiende a obligaciones de privacidad laboral. Los controles de gobernanza de datos que limitan qué datos de cockpit se retienen, por cuánto tiempo y bajo qué restricciones de acceso son la única minimización previa a la brecha.
La asignación de responsabilidad depende de los acuerdos contractuales de procesamiento de datos y la regulación aplicable. Bajo el GDPR, si el OEM es el responsable del tratamiento y el proveedor de nivel 2 procesa datos personales en su nombre, el OEM asume la obligación principal de notificación y responsabilidad —incluso si la brecha se originó aguas arriba. UN R155 impone obligaciones de sistema de gestión de ciberseguridad a los fabricantes de vehículos, incluyendo la supervisión de la cadena de suministro. Los OEMs que no pueden demostrar controles de acceso de proveedores, registros auditables de intercambios de datos y requisitos contractuales de seguridad enfrentan tanto responsabilidad regulatoria como civil cuando incidentes en cascada exponen datos de usuarios finales.
Recursos adicionales
- Artículo del Blog Arquitectura Zero Trust: Nunca confíes, verifica siempre
- Video Microsoft GCC High: Desventajas que impulsan a los contratistas de defensa hacia ventajas más inteligentes
- Artículo del Blog Cómo proteger datos clasificados una vez que DSPM los identifica
- Artículo del Blog Generar confianza en la IA generativa con un enfoque Zero Trust
- Video Guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI