Air India al descubierto: 51 fallos críticos de seguridad hallados en auditoría DGCA

Una contundente auditoría de la Dirección General de Aviación Civil de la India (DGCA) ha expuesto 51 violaciones críticas de seguridad en Air India, generando serias preocupaciones sobre riesgos sistémicos de ciberseguridad en los sistemas de cumplimiento de seguridad aeronáutica. La auditoría de julio de 2025 reveló múltiples puntos de fallo que, según expertos en ciberseguridad, podrían ser explotados para comprometer sistemas críticos de seguridad de vuelo.

Entre los hallazgos más graves destacan el uso de simuladores de vuelo no autorizados para el entrenamiento de pilotos, con al menos tres dispositivos operando sin la certificación adecuada. Especialistas en seguridad aérea señalan que estos sistemas no certificados probablemente carecen de las salvaguardas de ciberseguridad adecuadas, volviéndolos vulnerables a la manipulación de datos que podría afectar los registros de competencia de los pilotos.

Igualmente preocupantes fueron las discrepancias en la documentación de entrenamiento, donde el 28% de los registros auditados mostraban diferencias entre las horas reales de entrenamiento y los datos registrados. "Esto representa una oportunidad dorada para actores maliciosos de insertar registros falsificados", explicó el consultor de ciberseguridad aeronáutica Carlos Méndez. "Sin cadenas de verificación digital adecuadas, estos sistemas son vulnerables a la explotación".

Los fallos en el sistema de asignación de tripulaciones presentan otro vector de ataque, con la auditoría detectando frecuentes violaciones de los períodos de descanso obligatorios entre vuelos. Analistas sugieren que estas vulnerabilidades podrían ser aprovechadas mediante intrusiones al sistema para crear deliberadamente escenarios de fatiga de la tripulación.

Quizás lo más alarmante para los profesionales de la ciberseguridad fueron los hallazgos relacionados con el registro de mantenimiento. La auditoría descubrió múltiples casos donde datos críticos de mantenimiento de aeronaves estaban incompletos o mal verificados - una situación que refleja los desafíos de la industria de ciberseguridad con la gestión de activos tecnológicos.

"Lo que vemos aquí es básicamente mala higiene cibernética aplicada a sistemas de seguridad física", señaló Ana López, jefa de seguridad de infraestructura crítica en la Universidad de Buenos Aires. "Los mismos principios que aplicamos a la gestión de parches y controles de acceso en sistemas TI deben implementarse en estos sistemas de seguridad aeronáutica".

La DGCA ha dado a Air India 90 días para corregir los hallazgos más críticos, pero expertos argumentan que los problemas requieren soluciones más fundamentales. Las medidas recomendadas incluyen la implementación de sistemas de verificación de entrenamiento basados en blockchain, detección de anomalías mediante IA en la asignación de tripulaciones, y auditorías obligatorias de ciberseguridad para todos los sistemas aeronáuticos críticos.

Mientras las aerolíneas modernizan sus flotas con aviones cada vez más conectados, este incidente sirve como recordatorio de que los sistemas de seguridad aeronáutica deben protegerse con el mismo rigor que la infraestructura TI tradicional. Las implicaciones de ciberseguridad trascienden a Air India, destacando la necesidad de cerrar la brecha entre tecnología operacional y prácticas de seguridad informática en toda la industria.