Bicielx sufrió el pasado 3 de septiembre un ciberataque que llegó a exponer datos personales de usuarios, pero la empresa municipal PIMESA, responsable del servicio, no ha hecho público el incidente hasta este lunes 5 de octubre, más de un mes después.
La propia PIMESA ha informado ahora de que el ataque afectó a la plataforma de gestión de Bicielx y se desarrolló en varias fases, combinando comprobaciones manuales con procesos automatizados mediante un agente de inteligencia artificial capaz de adaptar sus acciones en función de los resultados que iba obteniendo.
Según la empresa municipal, su equipo informático logró bloquear el ataque y el servicio de préstamo de bicicletas continuó funcionando con normalidad. Durante el incidente se produjeron cambios de contraseña, principalmente en cuentas antiguas e inactivas, y los datos modificados fueron posteriormente restaurados.
Datos personales expuestos
PIMESA reconoce que la brecha dejó expuestos datos personales de usuarios de Bicielx. La empresa no ha detallado por el momento cuántas personas se vieron afectadas ni qué categorías concretas de información quedaron accesibles durante el ataque.
La compañía ha indicado que comunicará la brecha directamente a los usuarios afectados. La información pública difundida este lunes llega, sin embargo, más de un mes después de que se produjera el incidente.
De acuerdo con la versión trasladada por PIMESA, tras detectar el ataque se activaron los protocolos internos y se realizaron comunicaciones al delegado de Protección de Datos, al CCN-CERT, a la Agencia Española de Protección de Datos y al CSIRT-CV.
El autor acudió posteriormente a PIMESA
El caso presenta además una circunstancia poco habitual. Según la empresa municipal, el autor del ataque se presentó posteriormente en sus instalaciones, reconoció su autoría y entregó documentación relacionada con lo ocurrido.
PIMESA presentó entonces una denuncia ante la Policía Nacional y el responsable ha pasado ya a disposición judicial.
Nuevas medidas de seguridad después del ataque
Tras la brecha, PIMESA anuncia ahora varias medidas para reforzar la seguridad de la plataforma de Bicielx. Entre ellas figura la implantación de un sistema de doble factor de autenticación, la utilización de un servidor específico para las aplicaciones web y la realización de una auditoría de seguridad.
Bicielx es un servicio municipal de transporte público en bicicleta promovido por el Ayuntamiento de Elche y gestionado por PIMESA. La red cuenta actualmente con más de un centenar de estaciones distribuidas por la ciudad y algunas pedanías.
El incidente abre ahora dos cuestiones sobre las que todavía no se ha ofrecido información pública detallada: el número de usuarios afectados y el tipo exacto de datos personales que quedaron expuestos. También queda por conocer cuándo fueron informados individualmente —o cuándo lo serán— los usuarios afectados por una brecha que se produjo el 3 de septiembre y que no ha trascendido públicamente hasta este 5 de octubre.
