Un organismo de control federal afirma que la Administración Federal de Aviación (FAA) aún tiene trabajo crucial por hacer para proteger las comunicaciones de las aeronaves contra la suplantación de identidad y las interferencias, incluyendo la realización de evaluaciones de riesgos y el establecimiento de sistemas de detección en tiempo real más amplios. La advertencia, revelada el lunes en un nuevo informe gubernamental descrito por Reuters, pone de manifiesto una deficiencia operativa concreta en el centro de un debate de larga data sobre la ciberseguridad en la aviación: las agencias federales reconocen que las señales de radio y navegación manipuladas pueden interrumpir los vuelos, pero partes del sistema nacional aún carecen de la supervisión y la documentación necesarias para identificar rápidamente todas las amenazas.
El informe señala que los atacantes podrían transmitir cancelaciones fraudulentas de autorizaciones de tráfico aéreo, lo que podría ocasionar retrasos o riesgos para la seguridad. También indica que la FAA no ha completado las revisiones de riesgos ni los documentos de seguridad necesarios para abordar la suplantación de identidad y la interferencia, y carece de detección en tiempo real para todas las amenazas relacionadas con el espectro radioeléctrico. Estas conclusiones no demuestran que un ataque exitoso haya causado un accidente aéreo. Sin embargo, sí evidencian que la agencia responsable del espacio aéreo más transitado del mundo sigue siendo incapaz de observar y evaluar todas las amenazas de señales relevantes a medida que se desarrollan.
Una nueva advertencia surge tras trabajos cibernéticos inconclusos
Los hallazgos del lunes coinciden con una revisión más amplia de la GAO publicada en julio. Dicha auditoría reveló que la FAA solo había implementado completamente tres de los siete objetivos que respaldan su meta de proteger redes y sistemas. Cuatro objetivos —que incluyen una mejor supervisión, detección y respuesta ante ciberataques, controles más estrictos para usuarios privilegiados, la alineación con los estándares federales de seguridad y el desarrollo de una arquitectura de confianza cero— solo se habían implementado parcialmente hasta febrero.
La auditoría de julio identificó el mismo tipo de consecuencias operativas que ahora se destacan en el informe sobre el espectro radioeléctrico. Indicó que las vulnerabilidades explotadas podrían causar la pérdida de datos de vuelo, interrumpir las comunicaciones con el control de tráfico aéreo, alterar la información utilizada por los sistemas de cabina, interferir las señales de radiofrecuencia, falsificar los datos de ubicación de las aeronaves o suplantar la identidad de las estaciones terrestres. El Departamento de Transporte estuvo de acuerdo con las cuatro recomendaciones de la auditoría para la FAA, que incluían una supervisión más rigurosa de la implementación, informes más completos sobre el presupuesto cibernético y un plan de confianza cero más exhaustivo.
La brecha está en la detección, no solo en la prevención
La seguridad de la aviación moderna depende de saber cuándo se han denegado o falsificado datos fiables. La interferencia anula una señal legítima, mientras que la suplantación de identidad proporciona una señal falsa convincente. Ambas pueden interferir con el posicionamiento, la navegación, la sincronización o las comunicaciones, pero la suplantación de identidad puede ser más difícil de detectar porque un sistema puede seguir mostrando información plausible.
Los registros federales demuestran la importancia de la cobertura en tiempo real. La auditoría de la GAO de julio citó un hallazgo del inspector general del Departamento de Transporte que indicaba que la FAA no realizaba un monitoreo casi en tiempo real de 62 de los 85 sistemas críticos de gestión cibernética del espacio aéreo. Para junio, la agencia informó que había incorporado el monitoreo a 20 de esos sistemas, dado de baja uno y considerado seis inadecuados para su incorporación debido a limitaciones técnicas o a su retiro programado. Aún quedaba trabajo por hacer en 35 sistemas. Este problema se refiere al monitoreo cibernético, más que a todas las amenazas del espectro radioeléctrico, pero apunta al mismo problema de política: una advertencia que llega después de una interrupción operativa es menos útil que una que puede desencadenar una respuesta inmediata.
La exposición ha sido documentada durante años
La GAO ha advertido repetidamente que el aumento de la conectividad amplía la superficie de ataque de la aviación. Una auditoría de 2020 indicó que la FAA no había implementado completamente varios elementos de la supervisión de la aviónica basada en riesgos, incluyendo una evaluación general de riesgos, directrices para pruebas independientes y un mecanismo para el seguimiento de los problemas de ciberseguridad hasta su resolución. En ese momento, los auditores afirmaron no haber encontrado ningún ciberataque exitoso reportado contra los sistemas de aviónica de un avión, un límite importante que distingue las vulnerabilidades documentadas de las vulneraciones comprobadas.
una revisión examinó el Sistema de Vigilancia Dependiente Automática por Radiodifusión (ADS-B), la tecnología mediante la cual las aeronaves transmiten su ubicación precisa y otra información de vuelo. Los auditores descubrieron que el ADS-B podría ser vulnerable a ciberataques y guerra electrónica, además de generar riesgos de seguridad debido al seguimiento público de aeronaves militares. Posteriormente, el gobierno implementó medidas para ciertos vuelos del Departamento de Defensa, demostrando que los riesgos de señal identificados pueden reducirse cuando las agencias aprueban medidas de mitigación operativas específicas.
Un sistema con poco margen para puntos ciegos
La magnitud de la FAA magnifica incluso las debilidades más pequeñas. Su Organización de Control de Tráfico Aéreo gestiona más de 44 000 vuelos y más de 3 millones de pasajeros al día en un espacio aéreo de 29 millones de millas cuadradas. Los servicios de comunicaciones y navegación deben permanecer disponibles en todo el sistema mientras las agencias modernizan equipos obsoletos y conectan más componentes digitales.
La responsabilidad también está dividida. La oficina de investigación y tecnología del Departamento de Transporte coordina la política federal de posicionamiento, navegación y sincronización, y se encarga de proteger estos sistemas de interferencias de radiofrecuencia perjudiciales y degradación operativa, según sus responsabilidades. La FAA opera y regula los sistemas de aviación, mientras que otras entidades federales supervisan el espectro radioeléctrico, la ciberseguridad y los asuntos de seguridad nacional. Esta estructura hace que la documentación de riesgos actualizada y los procedimientos claros de escalamiento sean tan importantes como cualquier sensor individual.
Lo que ahora enfrentan el Congreso y la FAA
La cuestión política inmediata no es si se puede prevenir cualquier transmisión imaginable, sino si la FAA puede identificar las amenazas prioritarias, detectar rápidamente las interferencias perjudiciales, distinguir la actividad maliciosa de las fallas de los equipos y proporcionar a los controladores y a las tripulaciones de vuelo procedimientos alternativos fiables. El informe del lunes indica que la agencia aún no ha sentado las bases para abordar la totalidad de los riesgos del espectro radioeléctrico.
El Congreso puede exigir plazos concretos: cuándo se completarán las evaluaciones de riesgo pendientes, qué sistemas contarán con detección en tiempo real, qué cobertura seguirá sin estar disponible y cómo la FAA pondrá a prueba su respuesta sin poner en peligro las operaciones en curso. La agencia también debe explicar cómo se integra la monitorización del espectro radioeléctrico con las mejoras de ciberseguridad que ya están en marcha. Esta distinción es importante porque las interferencias de radio, las redes comprometidas y los datos de navegación falsificados pueden requerir diferentes medidas de seguridad técnica, incluso cuando producen síntomas operativos similares.
Las pruebas no respaldan las afirmaciones de que los viajes aéreos en EE. UU. sean inseguros en general ni que los piratas informáticos hayan tomado el control de aeronaves de pasajeros. En cambio, sí respaldan una conclusión más específica, pero de gran importancia: los organismos de control han vuelto a identificar deficiencias en las medidas de seguridad de los sistemas de los que depende la seguridad aérea. El objetivo de la regulación basada en el riesgo es precisamente subsanar esas deficiencias antes de que se produzca un incidente grave, y este es el criterio con el que ahora debe evaluarse la respuesta de la FAA.
