Balizas V16 hackeables: el lado oscuro del nuevo “salvavidas” obligatorio

¿Las balizas V16 conectadas son realmente más seguras o solo otro punto débil en la carretera? Te cuento por qué un modelo vendido por Vodafone, con más de 250.000 unidades, se ha convertido en ejemplo perfecto de lo que pasa cuando mezclas normativa, prisa e IoT sin tomarte en serio la ciberseguridad.

60 segundos para controlar tu baliza

Sesenta segundos. Eso es lo que tardó un investigador en tomar el control total de una baliza V16 conectada, de las que ya se han vendido más de 250.000 unidades en España.

La protagonista del análisis es la Help Flash IoT, fabricada por Netun Solutions y distribuida por Vodafone. Es una de esas balizas que, según la normativa de la DGT, deben sustituir al triángulo a partir de 2026 y que, además de emitir luz, envían tu posición por la red móvil.

Sobre el papel suena a avance brutal de seguridad vial. En la práctica, el informe de Luis Miranda Acebedo, publicado en GitHub, la describe como un pequeño coladero que cualquiera con equipo relativamente asequible puede manipular.

La parte interesante no es solo que “se puede hackear”. Lo realmente potente es lo que revela: hemos convertido un elemento obligatorio de seguridad en un nodo IoT masivo sin exigirle ser robusto como infraestructura crítica.

De luz de emergencia a mini antena IoT

Primero, contexto. A partir del 1 de enero de 2026, la DGT exige que, en lugar del triángulo, lleves en el coche una baliza V16 homologada y conectada. Es decir:

• Se coloca en el techo del coche cuando te quedas tirado.
• Emite una luz ámbar visible a larga distancia.
• Lleva dentro un módulo de conectividad (tipo M2M) que reporta tu ubicación a un servidor.

Según la Dirección General de Tráfico (DGT), la idea es que el sistema V16 ayude a:

• Avisar más rápido de un vehículo detenido.
• Alimentar una “nube” de puntos peligrosos en tiempo real.
• Mejorar la gestión del tráfico y la respuesta de emergencias.

Hasta aquí, todo bien. Pero hay un pequeño detalle que se ha ignorado demasiado: en cuanto pones un módem y firmware actualizable en algo, ya no es solo una luz, es un dispositivo IoT.

Y un dispositivo IoT que:

• Es obligatorio por ley.
• Se despliega de forma masiva.
• Está asociado, de facto, a una matrícula, un coche y patrones de movimiento.

Encima, en este caso, entra en juego un operador como Vodafone, que ofrece la baliza empaquetada como servicio. Seguridad vial sí, pero también negocio de conectividad y datos. Nada malo en sí mismo, salvo que la seguridad debería ir por delante del modelo de negocio, no detrás.

El hack barato y el fallo de diseño

El análisis de Miranda a la Help Flash IoT destapa un combo clásico de errores de seguridad en la parte de comunicaciones y en el sistema de actualizaciones OTA (Over-The-Air).

Con un equipo que ronda entre 500 y 1.000 euros para simular una antena de telefonía, más una Raspberry Pi 4 o un portátil con software libre, el investigador consiguió:

• Interceptar el tráfico “seguro” de la baliza.
• Empujarle un firmware modificado en menos de 60 segundos.
• Tomar control completo del dispositivo.

A partir de ahí, las posibilidades son bastante inquietantes:

• Enviar ubicaciones falsas como si fueran incidentes reales.
• Generar alarmas masivas para saturar sistemas de gestión de tráfico.
• Acceder al APN privado usado por las balizas y pivotar a otros servicios.
• Dejar la baliza como un ladrillo (brick) con una actualización maliciosa.

El propio informe sugiere que muchos de los fallos en comunicaciones podrían repetirse en otros modelos V16 conectados, porque comparten arquitectura y proveedores.

Aquí es donde se ve que no hablamos solo de un bug puntual, sino de un enfoque general:

Tres cosas que hacen grave este fallo

• Escala obligatoria: no es un gadget opcional, es algo que la ley te empuja a llevar.
• Dependencia de infraestructura móvil: si la red o la seguridad fallan, cae todo el sistema.
• Actualizaciones poco protegidas: el canal OTA es literalmente la puerta principal del dispositivo.

Netun ha respondido diciendo que la amenaza “no es elevada” en la práctica. Y es verdad que no vamos a ver mañana a bandas organizadas dedicadas a hackear balizas en masa. Pero ese no es el punto. El problema es arquitectónico: si el sistema permite este tipo de ataque, tarde o temprano alguien lo probará.

Con las V16 conectadas, yo también lo viví: es esa mezcla rara de tranquilidad y desconfianza.

Y aparece la pregunta que probablemente te estás haciendo: “Vale, pero… de verdad alguien atacaría mi baliza?”. La respuesta honesta es: lo más probable es que no, pero si el sistema se usa en operaciones críticas (cierres de carreteras, avisos de accidentes, gestión de emergencias), ya no importa si es tu baliza o diez mil a la vez.

Cuando la normativa crea superficie de ataque

Lo más interesante de este caso es el choque de lógicas:

• La lógica de seguridad vial: reducir atropellos al colocar el triángulo, mejorar la visibilidad, dar asistencia más rápida.
• La lógica de ciberseguridad: minimizar vectores de ataque, proteger datos, diseñar sistemas resistentes a manipulación maliciosa.

Al definir la norma de las V16, la DGT se centró en:

• Intensidad y frecuencia de la luz.
• Autonomía de la batería.
• Requisitos físicos de estabilidad y resistencia.
• Conectividad mínima (M2M, posición, alta disponibilidad).

Pero no existe, al menos de forma pública y exigente, un marco de certificación de ciberseguridad equivalente. No se pide, por ejemplo:

• Criptografía robusta y auditada para las comunicaciones.
• Sistema de actualización OTA con autenticación fuerte y firma verificada.
• Pruebas de penetración independientes como requisito de homologación.

FACUA ya ha denunciado un posible “fraude masivo” con balizas V16 “homologadas” que, según ellos, no cumplen realmente lo que deberían. Esto era ya grave hablando solo de legalidad y protección al consumidor. Si le sumas el ángulo de ciberseguridad, el cuadro se pone bastante más feo.

Y aparece otra duda muy razonable: “¿no se dieron cuenta antes de sacar la normativa?”. Probablemente sí sabían que había riesgos, pero se subestimó su impacto frente al beneficio de desplegar rápido la nueva señalización conectada.

Mi recomendación práctica si ya tienes una V16 conectada es simple: manténte atento a las comunicaciones del fabricante y de la DGT, y aplica cualquier actualización de seguridad que publiquen desde fuentes oficiales.

El coste de confiar a ciegas en la “luz inteligente”

Cuando algo es obligatorio, la confianza no es opcional, es forzada. Por eso este tipo de casos duelen más que un fallo en un enchufe inteligente cualquiera.

Aquí no solo está en juego que un atacante haga travesuras técnicas. También hablamos de:

• Privacidad: patrones de uso de la baliza, ubicación del vehículo en momentos vulnerables.
• Resiliencia del sistema de tráfico: un ataque coordinado podría generar caos informativo.
• Confianza en la DGT y en los fabricantes: si las primeras grandes olas de V16 llegan con estos problemas, el mensaje es pésimo.

Ni Netun ni Vodafone están solos en esto. El problema es compartido entre fabricantes, operadores y reguladores. Si la norma obliga a llevar un dispositivo conectable, lo lógico sería exigir estándares de seguridad cercanos a los de un sistema crítico, no a los de un gadget barato.

La parte positiva: casos como este suelen forzar ajustes. Más presión pública, más audiencias técnicas, más escrutinio a la hora de homologar la próxima tanda de modelos V16, y ojalá, una guía de ciberseguridad específica para dispositivos de seguridad vial conectados.

Al final, la pequeña luz ámbar que pones en el techo cuando todo va mal debería ser la pieza más fiable de tu coche, no la más fácil de engañar.

Preguntas frecuentes

¿Pueden usar mi baliza V16 para seguirme el rastro a diario?

La V16 conectada solo debería activarse cuando la enciendes por una incidencia. Aun así, genera datos sensibles. Si te preocupa la privacidad, revisa la política del fabricante y del operador, como Vodafone, y limita el uso a situaciones reales de emergencia.

¿Tiene sentido intentar bloquear la conectividad de la baliza V16?

Si bloqueas la conectividad, la baliza deja de cumplir uno de los requisitos clave que la DGT plantea para 2026. Además, muchas vienen selladas. Es más útil presionar por mejoras de seguridad y parches oficiales que sabotear el dispositivo.

¿Qué debería exigir a un fabricante de dispositivos IoT de seguridad?

Busca fabricantes que publiquen detalles técnicos claros, ofrezcan actualizaciones OTA firmadas, y cuenten con auditorías externas de seguridad. Si una marca presume de homologación pero nunca menciona ciberseguridad, es una señal de alerta para cualquier dispositivo conectado, no solo para las V16.