Las balizas V-16 de la DGT serán obligatorias en España a partir del 1 de enero de 2026, un aspecto muy importante, es que estas balizas están conectadas para proporcionar la geolocalización de dónde nos encontramos. El objetivo de la geolocalización cuando activamos la baliza, es poder comunicarse con la DGT y, posteriormente, que aparezca esta incidencia en los paneles luminosos de la DGT que tenemos en las diferentes carreteras. Un investigador de seguridad ha analizado en detalle el funcionamiento de una de las decenas de marcas que hay, concretamente la «Help Flash IoT», esta baliza se supone que es una de las mejores, sin embargo, la ciberseguridad implementada es una verdadera chapuza. ¿Quieres conocer todos los fallos de seguridad?
La ciberseguridad en un dispositivo conectado es crucial, con el objetivo de que funcione como debería funcionar, y ningún ciberdelincuente pueda falsear coordenadas, modificar el firmware para evitar la conexión con los servidores, o directamente para ocasionar un DoS e inutilizar todas las balizas que tengamos alrededor.
Funcionamiento de las balizas V-16
El funcionamiento de estas balizas que serán obligatorias próximamente, es el siguiente:
- Ocurre un accidente, sacamos la baliza y la encendemos.
- La baliza obtendrá las coordenadas GPS, y se conectará por NB-IoT o LTE-M al operador de telefonía en cuestión.
- Cada cierto tiempo (100 segundos), enviará mensajes al servidor propio del fabricante (no directamente a la DGT), donde indicará las coordenadas GPS, la hora y fecha exacta, así como el identificador del dispositivo (el cual no se encuentra asociado a una persona o vehículo, son totalmente anónimas).
- El servidor del fabricante y la baliza envían los datos a través de un APN privado que proporciona el operador, es decir, no está conectado directamente a Internet, sino que es una red aislada completamente.
- El servidor del fabricante procesa los mensajes, y lo envía a través de Internet a los servidores de la DGT3.0.
- Ahora la DGT3.0 se encargará de distribuir estas alertas a apps de navegación como Google Maps o Waze, e incluso también a los paneles de las autovías.
En la web oficial de la DGT3.0 en GitHub tenéis algunos datos técnicos sobre el funcionamiento de las balizas, y el tipo de mensajes que se recibirán y enviarán.
¿Por qué un dispositivo vulnerable puede estar homologado?
La regulación de las balizas V-16 está recogida en el RD 159/2021, establece requisitos técnicos específicos:
- Luz ámbar visible a 360°.
- Intensidad luminosa en rangos reglamentarios.
- Destello entre 0,8 y 2 Hz.
- Funcionamiento mínimo de 30 minutos en emergencia.
- Conectividad automática a la plataforma DGT 3.0
- Garantía de conectividad durante al menos 12 años sin costes adicionales
La normativa de homologación se centra principalmente en los requisitos funcionales y de conectividad con la plataforma DGT 3.0. Sin embargo, los documentos públicos no especifican un estándar de ciberseguridad mínimo en cuanto a cifrado de comunicaciones, autenticación de dispositivos ni procesos de actualización de firmwares seguros. Esto hace que un dispositivo pueda estar homologado, aunque no se le haya sometido a ningún tipo de auditoría de ciberseguridad.
Este es el punto crítico: la normativa pública no especifica requisitos de ciberseguridad. Los documentos de la DGT mencionan «conectividad» y «certificación» pero no establecen estándares técnicos para proteger las comunicaciones contra los ataques que ha documentado el investigador.
Vulnerabilidades descubiertas
El investigador de ciberseguridad Luis Miranda, ha analizado con mucho detenimiento el funcionamiento de una baliza en cuestión, una de las más vendidas: Help Flash IoT. Según Vodafone, indican que han vendido más de 250.000 dispositivos, por lo que es ampliamente utilizada. A continuación, os explicamos las vulnerabilidades descubiertas.
Comunicaciones sin cifrar
Las comunicaciones que realiza la baliza son en texto plano, sin ningún tipo de cifrado, así que cualquiera que esté en el «vecindario» podría estar monitorizando el tráfico de red, y capturando dicha información, incluyendo tu localización GPS donde has tenido el accidente en cuestión. Además de que no utiliza ningún tipo de cifrado, la conexión no está autenticada, por lo que el receptor no puede verificar que el mensaje llega de quién se supone que llega (alguien podría hacerse pasar por nosotros y enviar una ubicación falsa).
Los datos proporcionados por la baliza son:
- Coordenadas GPS exactas: la DGT obliga a que la exactitud sea inferior a 5 metros. Así que es bastante sensible, porque si alguien captura esta información, podría venir en nuestra busca algún delincuente.
- IMEI de la baliza: todas las balizas disponen de una eSIM, por lo que va asociado un IMEI que es un identificador único.
- Parámetro de red: antena de telefonía, intensidad de señal y operador.
- Tiempo de activación: proporciona información exacta de cuándo se ha activado la baliza.
Otro aspecto importante, es que, además de no usar cifrado y autenticación (alguien podría hacerse pasar por nosotros), tampoco comprueba la integridad de los mensajes. Esto último permite a un delincuente el poder modificar o manipular el mensaje, e incluso si hay un error en la transmisión, no lo detectará.
La investigación de Luis Miranda está documentada con capturas de pantalla del tráfico de red, y concluye que las comunicaciones carecen de los tres pilares fundamentales de seguridad:
- Sin cifrado: no hay privacidad ninguna, cualquiera en posición de leer el tráfico de red podrá hacerlo.
- Sin autenticación: cualquiera podría hacerse pasar por nosotros, suplantándonos fácilmente, ya que el IMEI va en texto claro.
- Sin integridad: si hay un error en la transmisión y el mensaje se daña, o alguien lo manipula, no podrán saberlo.
Lo único que «protege» todo esto es que todas las balizas van conectadas a un APN privado del operador en cuestión. Esto en ciberseguridad se conoce como «seguridad por oscuridad», el problema es que los parámetros de conexión también están expuestos en el puerto serie, así que, cualquiera con acceso físico a una baliza podría extraer la eSIM en cuestión, o usar un dispositivo modificado, para conectarse al APN privado del operador y entonces podría realizar diferentes tipos de ataques.
Ataque con estación base falsa
Hay un vector de ataque a estas balizas que consistiría en crear una estación base LTE falsa, con el objetivo de hacerse pasar por una torre de telefonía, y así que los dispositivos se conecten a ella en lugar de a la red del operador. El hardware necesario para hacer esto tiene un coste muy bajo para ciberdelincuentes, sobre unos 1000€ aproximadamente.
En estos casos, se podrían realizar dos tipos de ataque:
- Denegación de servicio: la baliza se conecta a la estación base falsa, y la estación base falsa no se conecta a nada. Esto permitirá al atacante interceptar y leer todo el tráfico, pero no lo enviará a la DGT. Esto es perfecto para espionaje, hacerse con decenas de IMEI válidos y mucho más.
- Ataque Man-in-the-Middle: se podría hacer un MitM completo, el atacante necesitaría una tarjeta eSIM válida extraída de otro dispositivo comprometido. El atacante en este caso sí conectaría la estación falsa con la red real de Vodafone, y podría: interceptar tráfico, modificar datos en tránsito, crear nuevos datos basado en el IMEI del atacado etc.
Como podéis ver, el hecho de enviar los mensajes sin cifrar, sin autenticar y sin ningún tipo de integridad, da pie a una gran cantidad de ataques.
Actualizaciones de firmware
Las balizas permiten actualizar el firmware vía Wi-Fi, este método no está documentado, pero es bastante grave. Si dejamos pulsado el botón de la baliza durante 8 segundos, automáticamente se intentará conectar a un SSID (nombre de red Wi-Fi) con una contraseña en concreto. Solamente necesitamos pulsar el botón, no es necesario ningún PIN, contraseña ni nada para activar este modo de actualización. Un aspecto muy importante, es que el SSID y la contraseña parece ser la misma para todas las balizas V-16, no son únicas por dispositivo, sino que están directamente en el firmware de cada baliza.
¿Por qué esto es importante? Porque la actualización se realiza a través del protocolo HTTP, sin ningún tipo de cifrado desde la nube ni tampoco autenticación. El dispositivo no verifica ningún certificado SSL/TLS, ni firma digital ni la identidad del servidor, esto permite que acepte actualizaciones de cualquiera que responda correctamente. Se podría montar un sistema donde la baliza «llame» y nosotros respondamos con un firmware modificado.
Este firmware modificado podría usarse para:
- Enviar ubicaciones falsas a la DGT.
- Acceder al APN privado del operador.
- Generar falsas alarmas.
- Interceptar comunicaciones.
- Inhabilitar el envío de la geolocalización, aunque esté homologado, podríamos deshabilitarlo y nadie se dará cuenta.
En definitiva, al modificar el firmware del dispositivo, se podría modificar su comportamiento a nuestro antojo.
Conclusiones
La ciberseguridad de la baliza analizada por Luis Miranda deja mucho que desear. La comunicación de la baliza con los servidores se hace sin cifrar, sin autenticar y sin comprobar la integridad, por lo que es vulnerable a muchos ataques si alguien accede al APN del operador. Otro aspecto importante, es que el acceso a este APN es bastante sencillo si extraes la tarjeta eSIM de la baliza, además, si alguien despliega una estación base falsa podrá capturar todo el tráfico de red y manipularlo a su antojo.
En cuanto a la actualización de firmware vía OTA, también se hace vía HTTP sin comprobar ningún tipo de autenticidad, integridad del firmware ni nada, permitiendo que cualquiera pueda modificar el firmware de su baliza con el objetivo de inhabilitar alguna de sus funciones, como la geolocalización.
| Tipo de vulnerabilidad | Riesgo para el conductor | Vector de ataque |
|---|---|---|
| Comunicaciones sin cifrado | Terceros pueden interceptar y conocer la ubicación exacta del vehículo tras un accidente o avería | Interceptación de tráfico de red en texto plano |
| Autenticación ausente | Atacantes pueden suplantar la baliza y enviar ubicaciones falsas a la plataforma DGT 3.0 | Suplantación de identidad del dispositivo sin validación de credenciales |
| Sin verificación de integridad de mensajes | Los datos de ubicación y alertas pueden ser modificados durante la transmisión sin que se detecte | Manipulación de mensajes en tránsito durante la comunicación |
| Vulnerabilidad a estación base falsa (IMSI Catcher) | Captura completa del tráfico de datos, denegación de servicio o ataques Man-in-the-Middle que impidan que la alerta llegue a otros conductores | Creación de una estación base falsa que intercepta toda la comunicación del dispositivo |
| Actualizaciones de firmware inseguras | Control total del dispositivo mediante código malicioso que puede enviar falsas ubicaciones, generar alarmas fraudulentas o inhabilitar el dispositivo | Inyección de firmware modificado sin cifrado ni autenticación a través de Wi-Fi |
| Acceso al APN privado del operador | Comprometer infraestructuras de telecomunicaciones y acceso no autorizado a datos de múltiples usuarios | Explotación de firmware comprometido para obtener credenciales de acceso privilegiado |
Os recomendamos visitar todos los detalles técnicos en el GitHub de Luis Miranda, donde encontraréis todos los detalles de la investigación.
En el mes de enero de 2026 se han puesto en marcha las balizas, sin resolver este tipo de problemas de ciberseguridad. Además de todos estos problemas, se han añadido otros: la geolocalización de las balizas son totalmente públicas, a través de DGT 3.0 se puede acceder a los reportes de todas las balizas activadas en tiempo real, y diferentes usuarios han creado proyectos donde podemos ver la activación de estas balizas en tiempo real en un mapa, sin que aparezcan el resto de incidencias en las carreteras.
Han creado también un bot en Telegram para recibir las notificaciones directamente en nuestro smartphone, además, podemos configurar en qué zona queremos activar estas alertas, para que así recibamos solamente las notificaciones que nos interesa por cercanía, ya sea para evitar atascos o para «otros» usos de esta información (como los delincuentes).
Conocer la geolocalización de estas balizas es un grave atentado para nuestra privacidad, pero sobre todo para nuestra seguridad:
- Si alguien con problemas activa la baliza, delincuentes de los alrededores podrían ir a robar en su vehículo u otro tipo de acciones.
- Podría llegar una grúa falsa con el objetivo de robar el coche, o directamente cobrar un dinero a la víctima del accidente o problema con su coche.
En definitiva, las balizas V16 constituyen un riesgo para nuestra privacidad, pero sobre todo, para nuestra seguridad si decidimos activarla. El principal problema es su funcionamiento intrínseco, proporcionar geolocalización de un vehículo averiado, el problema es que esta información es completamente pública, y delincuentes podrían ir a la «llamada» de auxilio, lo que supone un verdadero problema.