Los patinetes eléctricos han pasado de ser un simple entretenimiento infantil a convertirse en una pieza clave de la movilidad urbana conectada. Su adopción masiva, impulsada por la electrificación y los servicios de alquiler compartido, responde a la necesidad de desplazamientos rápidos, flexibles y asequibles en entornos cada vez más densos. Según datos del Institut Metròpoli, cerca de la mitad de los usuarios tiene entre 30 y 44 años, y más del 60% son hombres, lo que demuestra que ya no es solo un vehículo para jóvenes; se ha integrado en la rutina diaria de profesionales y ciudadanos que buscan evitar atascos y las limitaciones del transporte público.
En el contexto de las ciudades inteligentes, estos vehículos no operan de forma aislada. Se integran en plataformas de movilidad como servicio (MaaS), se comunican a través de aplicaciones móviles y recolectan datos de geolocalización, uso y estado de la batería en tiempo real. Esta conectividad, basada en tecnologías como Bluetooth, WiFi y redes móviles, permite funcionalidades avanzadas: bloqueo remoto, diagnóstico, actualizaciones de firmware y localización antirrobo. Sin embargo, la misma digitalización que los convierte en aliados de la movilidad sostenible los expone a ciberriesgos significativos, muchos de ellos subestimados por fabricantes y usuarios.
Para entender las amenazas es necesario conocer los componentes clave de un patinete eléctrico moderno. El motor eléctrico (entre 250 y 750 vatios) es gestionado por un controlador electrónico que recibe órdenes y ajusta potencia y frenado. La batería de iones de litio alimenta todo el sistema y se comunica con el controlador para reportar su estado. A esto se suma un módulo de conectividad que incluye Bluetooth, WiFi y, en modelos avanzados, chip de telefonía móvil. Finalmente, la aplicación móvil actúa como interfaz de usuario y puerta de enlace hacia servicios en la nube.
Esta arquitectura amplía la superficie de ataque de un dispositivo que pocos perciben como objetivo. Los investigadores del Área Técnica de EUROCYBCAR han documentado casos reales, como el de un patinete de Xiaomi cuyo software defectuoso permitía a un atacante tomar el control remoto del motor y provocar un frenazo repentino. A continuación, detallamos las principales categorías de vulnerabilidades que afectan a estos vehículos.
El vínculo entre la aplicación móvil y el patinete se establece mediante Bluetooth o WiFi. Si el emparejamiento no utiliza mecanismos de autenticación sólidos o el firmware carece de validación de comandos, un atacante dentro del alcance de la señal puede enviar instrucciones maliciosas directamente al controlador. Esto puede traducirse en aceleraciones involuntarias, bloqueo de la rueda o desactivación del sistema de frenado regenerativo.
Investigaciones universitarias —como las que en su día demostraron la manipulación de semáforos conectados— han servido de alerta para la industria del transporte, pero en el ámbito de la micromovilidad el problema se agrava por la escasa madurez en seguridad de muchos fabricantes. La ausencia de una capa de autenticación robusta entre el smartphone y el vehículo abre la puerta a ataques de tipo Man-in-the-Middle (MitM) que pueden tomar el control del patinete mientras el usuario legítimo lo conduce.
Algunos modelos permiten desbloquear o encender el patinete simplemente con la proximidad del teléfono vinculado, sin exigir una confirmación explícita del usuario. Si el proceso de emparejamiento Bluetooth no implementa cifrado o utiliza claves por defecto, un atacante podría suplantar el dispositivo móvil y liberar el vehículo sin permiso. Además, las aplicaciones de alquiler compartido han mostrado vulnerabilidades en la verificación de identidad que facilitan el uso fraudulento o el robo de cuentas.
En sistemas de flotas, la autenticación débil en las API de gestión permite que terceros no autorizados consulten la ubicación exacta de todos los vehículos, su nivel de carga e incluso datos históricos de rutas. Esto no solo afecta a la privacidad, sino que puede derivar en sabotajes coordinados o en la creación de mercados paralelos de información sobre hábitos de movilidad.
Los patinetes recopilan metadatos continuamente: coordenadas GPS, patrones de aceleración, inclinación, estado de la batería y, en algunos casos, información personal vinculada al perfil de la aplicación (nombre, correo electrónico, método de pago). Cuando estos datos viajan sin cifrado extremo a extremo hacia los servidores del fabricante, se convierten en un objetivo valioso para ciberdelincuentes.
Un atacante que intercepte el tráfico de red puede trazar los movimientos diarios de una persona, identificar su domicilio o lugar de trabajo y combinar esa información con otras filtraciones. Además, los servicios de sharing almacenan bases de datos con miles de usuarios; un acceso indebido a esos sistemas expone datos financieros y credenciales, como demostró el ciberataque al Consorcio Regional de Transportes de Madrid que comprometió información de tarjetas de transporte.
Aunque el foco mediático suele estar en ataques a infraestructuras ferroviarias o sistemas de semáforos, ya existen incidentes documentados en los que la micromovilidad ha sido el vector. La base de datos de EUROCYBCAR registró un exploit en un patinete Xiaomi que permitió bloquear repentinamente el motor a distancia. Este tipo de ataque, si bien no se ha masificado, demuestra la factibilidad técnica y la peligrosidad potencial para la integridad física del conductor.
Más allá de la investigación, la propia dinámica de las ciudades ha revelado nuevos riesgos. Los incendios de baterías en patinetes que viajaban en el Metro de Madrid llevaron a prohibir su acceso al transporte público en varias comunidades autónomas. Aunque este incidente no tuvo un origen ciberintencionado, la capacidad de un atacante para sobrecargar o forzar un mal funcionamiento de la batería mediante comandos maliciosos convierte el fallo térmico en una amenaza ciberfísica real. Por otro lado, los servicios de patinetes compartidos en Madrid vieron revocadas sus autorizaciones en 2023, en parte debido a problemas regulatorios, pero también a la dificultad de proteger adecuadamente una flota masiva de dispositivos conectados expuestos a la calle.
La Agencia de la Unión Europea para la Ciberseguridad (ENISA) alertó en 2022 sobre el aumento de ataques oportunistas contra infraestructuras de transporte conectado, y el ransomware sigue siendo el arma predilecta, con un incremento del 25% en ese mismo año. Aunque los informes se centran en sistemas ferroviarios y semafóricos, la hiperconectividad de la micromovilidad la coloca en un lugar similar de riesgo si no se adoptan medidas urgentes. El ataque a la autoridad de transporte de Uttar Pradesh (India) bloqueó la venta de billetes durante 10 días, y el grupo Akira paralizó terminales ferroviarias en Chicago robando 85 GB de datos sensibles; eventos que podrían replicarse en plataformas de gestión de flotas de patinetes si las defensas no mejoran.
La defensa eficaz de los patinetes eléctricos conectados requiere un enfoque de seguridad por capas, adaptado a las limitaciones de estos dispositivos (temperatura, polvo, batería reducida) pero sin renunciar a principios sólidos. La primera medida es realizar una cartografía detallada de todos los activos: controlador, módulo Bluetooth, aplicaciones, servidores en la nube y puntos de recarga. Solo así se pueden identificar los vectores de ataque y establecer prioridades.
Una vez mapeado el ecosistema, se deben implementar controles que aborden las vulnerabilidades descritas. A continuación se detallan las líneas de acción más efectivas:
Los fabricantes deben incorporar arranque seguro (secure boot) y almacenamiento seguro de claves en el hardware del patinete, de modo que solo firmware firmado digitalmente pueda ejecutarse. La autenticación entre el smartphone y el vehículo ha de basarse en criptografía de clave pública (PKI) con certificados únicos por dispositivo, abandonando contraseñas por defecto o emparejamientos sin verificación. Para las aplicaciones de flotas, la autenticación multifactor en las cuentas de usuario y la verificación biométrica reducen drásticamente el riesgo de suplantación.
Además, es vital que las API de gestión de flotas expuestas a Internet cuenten con mecanismos de autorización granulares (OAuth 2.0, tokens de acceso con caducidad) y estén protegidas contra ataques de inyección. Los operadores deben exigir a sus proveedores pruebas de seguridad periódicas y auditorías de código fuente.
Toda comunicación entre el patinete, la aplicación y los servidores debe estar cifrada utilizando protocolos modernos (TLS 1.3) y, en el caso de Bluetooth, emplear Bluetooth Low Energy con cifrado AES-CCM y emparejamiento con Passkey Entry. Para redes WiFi en estaciones de recarga o actualizaciones, se debe evitar el uso de puntos de acceso abiertos y, en su lugar, desplegar certificados de confianza que autentiquen mutuamente los extremos.
Los datos personales recogidos durante el uso —ubicación, perfiles de conducción— deben anonimizarse o seudonimizarse en origen antes de su transmisión. El cumplimiento del Reglamento General de Protección de Datos (RGPD) y de la futura directiva NIS2 obliga a los operadores a realizar evaluaciones de impacto y a notificar brechas de seguridad en un plazo máximo de 72 horas, lo que incrementa la necesidad de contar con un sistema de monitorización continuo.
El firmware de los patinetes debe poder actualizarse de forma remota (OTA) con mecanismos que verifiquen la integridad y autenticidad de los paquetes. Una actualización OTA segura evita que un atacante inyecte código malicioso durante el proceso. Al mismo tiempo, es necesario mantener un canal de comunicación cifrado y autenticado entre el dispositivo y el servidor de actualizaciones.
A nivel organizativo, los operadores de flotas deben integrar la telemetría de cada patinete en un Centro de Operaciones de Seguridad (SOC) que correlacione eventos y detecte anomalías (por ejemplo, comandos de frenado enviados desde una ubicación no habitual). La segmentación de la red que gestiona la flota, separándola tanto de la infraestructura crítica de la ciudad como de los sistemas corporativos, es una práctica recomendada que ya se aplica en otros ámbitos de la movilidad conectada y que reduce la probabilidad de movimientos laterales tras una intrusión.
Si utilizas un patinete eléctrico, propio o compartido, la ciberseguridad empieza por acciones sencillas. Mantén siempre actualizada la aplicación oficial y el firmware del vehículo. No emparejes tu patinete con dispositivos desconocidos y desactiva el Bluetooth cuando no lo necesites. En servicios de alquiler, crea contraseñas robustas y, si está disponible, activa la verificación en dos pasos. Recuerda que los datos de tus desplazamientos pueden revelar mucha información sobre tu vida privada; exige a la plataforma transparencia sobre cómo los trata.
Además, sé consciente de que un fallo de seguridad no solo compromete tu bolsillo o tu privacidad: un ataque al sistema de control podría provocar una situación de peligro durante la conducción. Ante comportamientos extraños del vehículo (aceleración involuntaria, frenado brusco sin motivo), detén su uso y notifícalo al fabricante o al operador. Tu reporte puede ayudar a identificar vulnerabilidades antes de que sean explotadas de forma masiva.
Desde el punto de vista de la ingeniería de seguridad, la micromovilidad exige aplicar los mismos principios que protegen otros sistemas ciberfísicos. Implementar arranque seguro y almacén de claves en un elemento seguro (SE) dentro del controlador debe ser un requisito de homologación. Las comunicaciones deben migrar a esquemas de confianza mutua (mTLS) y certificate pinning en las apps, evitando así la suplantación de servidores. Las actualizaciones OTA necesitan firmarse con claves custodiadas en un HSM y validarse antes de su instalación.
En entornos de flota, la segmentación de red y la monitorización continua de eventos mediante un SOC son irrenunciables. La ingesta de logs debe incluir eventos de autenticación, comandos de control y transacciones de pago. Las normativas venideras, como NIS2, elevarán el nivel de exigencia para los servicios esenciales de movilidad, por lo que las organizaciones que anticipen la adopción de los estándares UNE-EN 303 645 para IoT y las directrices de la ENISA estarán mejor posicionadas. Finalmente, la colaboración entre fabricantes, autoridades locales y equipos de respuesta a incidentes (CERTs) es el pilar que puede convertir la movilidad conectada en un ecosistema verdaderamente resiliente.
Descubre nuestros patinetes eléctricos y vehículos de movilidad personal. Reparamos y asesoramos para que siempre sigas rodando sin problemas.
