DULCINEA DEL TRUE CRIME II — Expediente quemado
Del coche que ardió mientras cargaba o de cómo un puerto USB se convirtió en el origen de un incendio que nadie había planeado
Nuevos casos, mismas personas
El incendio ocurrió un jueves a las tres de la madrugada en el garaje comunitario de un edificio de viviendas en las afueras de la capital de provincia. No hubo heridos. Hubo un vehículo eléctrico completamente calcinado, dos vehículos adyacentes con daños graves por el calor, manchas de hollín en tres plazas más y un sistema de extinción automática que había funcionado correctamente y que, según el informe de los bomberos, había evitado que el fuego se extendiera a la estructura del edificio.
El propietario del vehículo eléctrico era Gerardo Palomino, cuarenta y siete años, ingeniero de caminos, que había comprado el coche dieciocho meses antes y que esa noche dormía en su apartamento en el cuarto piso del mismo edificio mientras su coche ardía en el sótano.
Lo que Gerardo no supo hasta semanas después era que el incendio no había sido un accidente en el sentido convencional de la palabra. No había habido un cortocircuito imprevisto, ni un defecto de fabricación, ni una batería que hubiera llegado al fin de su vida útil. Había habido una manipulación.
Lo que tampoco supo hasta mucho más tarde era que don Justo Severo Recio, portero jubilado de Olmeda del Espino, había tenido algo que ver con que esa manipulación saliera a la luz.
— ✶ —
De cómo llegó el caso a don Justo
La conexión llegó, como tantas cosas en la segunda vida de don Justo, a través de la asociación de víctimas. Gerardo no era víctima de un accidente de tráfico, pero la trabajadora social que coordinaba los recursos de la asociación conocía a su mujer, y su mujer había mencionado en una conversación que su marido llevaba semanas intentando que alguien le escuchara y que nadie terminaba de entender lo que él creía que había pasado.
Lo que Gerardo creía que había pasado era esto: la semana antes del incendio, el coche había pasado por una revisión en un punto de asistencia técnica oficial donde, además del mantenimiento rutinario, le habían actualizado el software de gestión de la batería mediante una conexión al puerto de diagnóstico del vehículo. Gerardo era ingeniero y tenía el hábito de revisar los registros del sistema de su coche, que era uno de esos modelos que guarda un historial detallado de todos los parámetros de carga y funcionamiento. Al revisar esos registros después del incendio, había encontrado algo que no cuadraba: los parámetros de carga máxima de la batería habían sido modificados respecto a los valores de fábrica. No de manera drástica: unos pocos puntos porcentuales por encima del límite superior recomendado por el fabricante. Suficiente, sin embargo, para que en condiciones de carga completa prolongada, que era exactamente lo que ocurría cuando el coche cargaba toda la noche en el garaje, la temperatura de la batería superara los umbrales de seguridad.
Gerardo lo había explicado al seguro. El seguro lo había escuchado con atención y le había dicho que necesitaría un peritaje técnico. Lo había explicado al fabricante del coche. El fabricante había iniciado un protocolo de investigación interna. Lo había explicado a la Guardia Civil de Tráfico. La Guardia Civil había tomado nota y le había informado de que el caso estaba siendo estudiado.
Nadie le había dicho que estaba equivocado. Pero tampoco nadie le había dicho que estaba en lo correcto. Y Gerardo, que era ingeniero y sabía lo que había visto en los registros, llevaba semanas con la sensación de hablar un idioma que todo el mundo entendía pero que nadie quería traducir en consecuencias.
— ✶ —
De lo que Bruno Castejón explicó y de por qué esto era diferente al caso de Felisa
Don Justo llamó a Bruno Castejón, el ingeniero de ciberseguridad que había ayudado con el caso de Felisa y el volante, y le describió lo que Gerardo había encontrado en los registros. Bruno pidió veinticuatro horas para revisar la literatura técnica disponible antes de responder.
Cuando llamó, lo primero que dijo fue:
—Esto es más serio que el caso de Felisa. Cualitativamente diferente. Allí teníamos un acceso no autorizado que permitía maniobras del vehículo en marcha. Aquí estamos hablando de manipulación del BMS: el Battery Management System, el sistema que gestiona los parámetros de carga, temperatura y descarga de la batería. Si alguien modificó esos parámetros de manera deliberada para llevar la batería por encima de su umbral térmico de seguridad, estamos ante una intervención que tenía el potencial de causar exactamente lo que causó.
Don Justo anotó. Modesto, que estaba en la misma llamada, preguntó la pregunta que todos estaban pensando:
—¿Eso es un delito?
—Depende de si fue deliberado o accidental. Una modificación accidental de parámetros por un error en el proceso de actualización es un problema de responsabilidad civil, posiblemente penal por imprudencia. Una modificación deliberada para provocar un fallo térmico es otra cosa completamente distinta. El problema es que probar la diferencia requiere un análisis forense del software que actualizó el sistema, del dispositivo con que se hizo la actualización y de los registros del punto de asistencia técnica. Y eso, en el estado actual de la regulación, no es un proceso sencillo.
Bruno explicó el mecanismo con la claridad de siempre, esta vez con más gravedad que en conversaciones anteriores:
—Un vehículo eléctrico moderno tiene una batería de iones de litio gestionada por el BMS, que es el cerebro que controla cuánta energía entra durante la carga, a qué temperatura puede operar la celda, cuándo cortar la carga para proteger la batería y cuándo activar los sistemas de refrigeración. Esos parámetros los fija el fabricante dentro de márgenes de seguridad muy estrictos, basados en las características físicas y químicas de las celdas. Si alguien modifica esos parámetros, por ejemplo, subiendo el límite de carga máxima del noventa y cinco al cien por cien, o desactivando la refrigeración activa por encima de cierta temperatura, la batería puede alcanzar un estado que en el sector se llama thermal runaway: una reacción en cadena exotérmica, es decir, que genera calor por sí misma, que una vez iniciada es prácticamente imposible de detener desde el exterior. No necesita chispa. No necesita fuente de calor externa. La propia batería genera el calor que la destruye.
—Lo que hace especialmente peligroso el thermal runaway en un garaje comunitario es la combinación de factores: el espacio cerrado, la presencia de otros vehículos, las estructuras de hormigón que concentran el calor y el hecho de que ocurre normalmente de madrugada, cuando los sistemas de detección temprana tienen que funcionar solos porque no hay personas que detecten el olor o el humo en sus primeras fases.
—El incendio de Gerardo ocurrió a las tres de la madrugada. Si el sistema de extinción automática hubiera fallado, estaríamos hablando de un incendio de estructura, no solo de un vehículo.
— ✶ —
De la investigación y de sus límites reales
Bruno se desplazó para revisar los registros que Gerardo había conservado, junto con el perito del seguro y con la colaboración, finalmente conseguida después de dos semanas de gestiones, de un técnico del fabricante del vehículo. Lo que encontraron confirmó lo que Gerardo había detectado: los parámetros del BMS habían sido modificados en la última actualización de software, y los valores modificados estaban fuera de los rangos de seguridad establecidos por el fabricante.
Lo que no pudieron determinar con certeza era si la modificación había sido deliberada o un error en el proceso de actualización. El punto de asistencia técnica utilizaba una herramienta de diagnóstico y actualización de software que, según reconoció el propio fabricante de esa herramienta cuando fue consultado, tenía un bug conocido en determinadas versiones que podía en ciertos modelos de vehículo escribir valores incorrectos en los parámetros del BMS si la conexión se interrumpía a mitad del proceso.
Bug o manipulación deliberada: la consecuencia material había sido la misma. Un coche destruido, dos dañados, un garaje que podría haber ardido y cuatro familias que habían pasado semanas sin poder dormir pensando en lo que podría haber ocurrido si el sistema de extinción hubiera fallado.
Inés, cuando don Justo le contó el resultado de la investigación, hizo la observación que don Justo había estado esperando:
—Lo que describe Bruno, el bug que escribe valores incorrectos si la conexión se interrumpe, es exactamente el tipo de vulnerabilidad que en la investigación en ciberseguridad se llama una condición de carrera: un fallo que solo ocurre cuando varias cosas pasan en un orden específico, que es difícil de reproducir en un laboratorio y aún más difícil de probar ante un tribunal. Y eso, deliberado o no, tiene una consecuencia muy concreta para Gerardo: es probable que la compensación que reciba sea la del seguro del vehículo, no la que correspondería si se probara una responsabilidad deliberada de alguien. Porque probar la intención, en el estado actual de la regulación de la ciberseguridad en vehículos, es extraordinariamente difícil.
—Y mientras tanto, el bug sigue existiendo en las versiones de esa herramienta que otros talleres siguen usando —dijo don Justo.
—Sí —dijo Inés—. Y hay más coches cargando en garajes comunitarios esta noche.
— ✶ —
De lo que se publicó y de lo que Modesto decidió no publicar todavía
Modesto preparó el episodio con Bruno durante tres semanas. Se llamaba Baterías, garajes y software: lo que debería saber antes de enchufar su coche esta noche y duraba veinticinco minutos. Explicaba el mecanismo del BMS, el concepto de thermal runaway, el papel de los puntos de asistencia técnica en el mantenimiento del software de los vehículos eléctricos, las preguntas que cualquier propietario de un vehículo eléctrico debería hacer en su próximo servicio y los indicadores que podían sugerir que algo no había ido bien en una actualización de software.
No mencionaba a Gerardo. No mencionaba el edificio. No mencionaba el punto de asistencia técnica, porque la investigación del fabricante de la herramienta seguía abierta y publicar el nombre antes de que hubiera una conclusión podía ser perjudicial para ese proceso. Modesto había aprendido a esperar.
Lo que sí publicó, en la descripción del episodio, fue un enlace al reglamento UNECE R155 y al protocolo de notificación de vulnerabilidades de ciberseguridad en vehículos conectados de la Agencia de Ciberseguridad de la Unión Europea (ENISA), para que quien quisiera profundizar tuviera donde hacerlo.
El episodio tuvo ocho mil visualizaciones en la primera semana, que era el mejor resultado del canal reformado hasta la fecha. Entre los comentarios había tres de técnicos de talleres que decían que habían revisado la versión de su herramienta de diagnóstico y que en dos casos habían encontrado que estaban usando versiones con el bug identificado, que habían actualizado de inmediato.
Don Justo leyó esos tres comentarios con la atención de quien sabe que son exactamente el tipo de cosa que no aparece en los titulares pero que tiene consecuencias reales. Luego llamó a Modesto.
—Tres talleres actualizados esta semana —dijo.
—Que lo han dicho en los comentarios —dijo Modesto—. Probablemente hay más que lo han hecho sin decirlo.
—¿Y Gerardo?
—El seguro le cubre el valor del coche. El proceso de reclamación al fabricante de la herramienta sigue abierto. Va a tardar.
—¿Está bien?
—Dice que está bien. Dice que lo que más le cuesta es que su mujer ya no quiere que el nuevo coche cargue en el garaje de noche. Que lo deja enchufado en la calle, a la vista, aunque llueva.
Don Justo no dijo nada durante un momento.
—Eso —dijo finalmente— es el daño que no aparece en el informe del perito.
—Sí —dijo Modesto—. Siempre hay uno.
— ✶ —
De lo que Inés dijo sobre los garajes, el CPTED y los riesgos que no tienen forma
La última conversación de este caso fue entre Inés y don Justo, una tarde de noviembre, mientras caminaban por el parque después de una charla que Inés había dado en una asociación de consumidores sobre derechos digitales. Don Justo había asistido como oyente, que era algo que hacía cada vez más: asistir a las cosas de Inés como oyente, no como investigador.
—Lo que me resulta más inquietante de este caso —dijo Inés— es la dimensión colectiva del riesgo. Un vehículo eléctrico que sufre thermal runaway en un garaje comunitario no solo pone en riesgo al propietario del vehículo: pone en riesgo a todos los vecinos del edificio. Es un riesgo compartido, generado por una decisión individual (el coche que se carga) que interactúa con un fallo del sistema (el software mal actualizado) para producir un daño que afecta a personas que no han tomado ninguna decisión al respecto y que probablemente no saben que ese riesgo existe.
—Y esto tiene una implicación para el CPTED que me parece importante: el diseño de los espacios comunitarios, incluidos los garajes, tiene que empezar a incorporar el riesgo tecnológico de la misma manera que incorpora el riesgo de seguridad física. Los garajes de los edificios que tienen puntos de carga eléctrica deberían tener sistemas de detección de temperatura y humo específicos para baterías de litio, que son distintos de los sistemas convencionales. Deberían tener protocolos de ventilación adecuados. Y deberían tener, idealmente, puntos de carga en zonas diseñadas para contener un posible incendio sin que se propague.
—Nada de eso es ciencia ficción: existe, se puede diseñar, se puede instalar. Lo que no existe todavía es la conciencia generalizada de que es necesario.
Don Justo caminaba con las manos en los bolsillos del chaleco. Cancerbero iba a su lado, lento pero constante.
—¿Y quién le tiene que decir eso a quién? —preguntó don Justo.
—Esa —dijo Inés— es exactamente la pregunta correcta. Y la respuesta es que hay que decirlo a muchos niveles al mismo tiempo: a los fabricantes de vehículos, a las comunidades de propietarios, a los técnicos de instalaciones, a los seguros, y también a las personas que tienen un coche eléctrico y un garaje comunitario; y que esta noche lo van a enchufar sin saber que deberían preguntar algunas cosas antes.
Don Justo asintió. Esa noche, cuando volvió a casa, le pregunto a Remedios si tenían el número del presidente de la comunidad a mano.
—¿Para qué? —pregunto Remedios.
—Para preguntarle si el sistema de extinción del garaje esta actualizado para baterías de litio —dijo don Justo—. Y si no lo sabe, para que lo averigüe.
Remedios lo miro con la expresión de quien lleva dos años acostumbrándose a que su marido haga exactamente este tipo de preguntas en lugar de las que hacía antes.
—Está en la agenda —dijo—. Debajo del médico del lunes.
Don Justo llamo al día siguiente. El presidente no lo sabía. Convoco una reunión de la comunidad para la semana siguiente. Darío, el portero, reviso el sistema de extinción con el técnico de mantenimiento. El sistema era convencional, no específico para baterías de litio. La comunidad voto aprobar el presupuesto de adaptación.
No fue una hazaña. Fue una llamada de teléfono y una reunión de vecinos. Pero el garaje del número catorce de la calle Alameda de Olmeda del Espino estaba, a partir de esa semana, un poco mejor preparado para lo que podría pasar que para lo que había pasado hasta entonces.
Don Justo lo anoto en la libreta azul con la satisfacción especifica, ya conocida, de las cosas pequeñas que son suficientes.
Los vehículos eléctricos e híbridos enchufables utilizan baterías de iones de litio gestionadas por un Battery Management System (BMS) que controla los parámetros de carga, temperatura y descarga. La manipulación o modificación incorrecta de esos parámetros puede producir una condición de thermal runaway: una reacción térmica en cadena que puede derivar en incendio. Los propietarios de vehículos eléctricos deben asegurarse de que las actualizaciones de software se realizan en puntos de asistencia técnica oficiales o con herramientas de diagnóstico certificadas y actualizadas. Las comunidades de propietarios con puntos de carga eléctrica en garajes deben verificar que sus sistemas de detección y extinción son adecuados para incendios de baterías de litio, que requieren protocolos distintos a los incendios convencionales. La normativa UNECE R155 establece requisitos de ciberseguridad para fabricantes de vehículos, pero la cadena de seguridad incluye también a los puntos de asistencia técnica y a las herramientas que utilizan.
No son casos. Son personas.
Acceda aquí a la publicación original de esta serie
Esta obra es el resultado del trabajo creativo de sus autores. Para determinadas tareas de apoyo —como la organización de información, la estructuración de materiales y la asistencia en procesos de edición— se han empleado herramientas de inteligencia artificial. No obstante, la concepción, autoría, criterio y responsabilidad sobre los contenidos pertenecen exclusivamente a los autores humanos.
