Un investigador cordobés especializado en ciberseguridad logró acceder a gran parte del ecosistema tecnológico que administra el transporte público de Córdoba. Durante su investigación detectó vulnerabilidades en sistemas vinculados a colectivos y taxis, plataformas de recarga, tarjetas de pasajeros, cámaras instaladas en las unidades, información personal y cuentas administrativas. Según explicó, algunas de esas fallas incluso habrían permitido inmovilizar vehículos de manera remota.
El especialista, Ignacio Navarro, notificó las vulnerabilidades a la empresa responsable y al CERT Argentina, organismo encargado de coordinar la respuesta ante incidentes informáticos. Tras el reporte, las fallas fueron corregidas antes de que pudieran ser aprovechadas con fines maliciosos. La investigación fue presentada en la conferencia “Every Ride You Take: Hacking a City’s Public Transportation”, durante BSides Las Vegas, considerado uno de los principales eventos mundiales de ciberseguridad.
—Presentaste una investigación en una de las conferencias de hackers más importantes del mundo mostrando cómo vulneraste el sistema de transporte utilizado en Córdoba. ¿Cómo nació ese trabajo?
—Hace varios años que hago ethical hacking, que consiste en encontrar vulnerabilidades durante mi tiempo libre y reportarlas para que las empresas las puedan corregir. Después empecé a presentar esas investigaciones en conferencias porque muchas veces hay muy buena respuesta del otro lado. Incluso me ha pasado que, después de reportar una falla, me convocaron para dar cursos o capacitaciones. Esta investigación estaba enfocada en sistemas de transporte. Córdoba aparece como uno de los casos, pero en realidad el problema es mucho más amplio. Yo lo reporté a la empresa responsable y luego la Municipalidad también se comunicó conmigo para agradecer el trabajo y ofrecer colaboración.
—¿Qué fue exactamente lo que encontraste?
—Pude demostrar que era posible acceder a información muy sensible. Entre otras cosas, se podían visualizar las cámaras de los colectivos, conocer la ubicación de las unidades e ingresar a archivos con documentación personal, como DNI, licencias de conducir, certificados de domicilio y datos utilizados para gestionar beneficios sociales. Cuando llegué a ese punto dejé de avanzar y reporté inmediatamente la situación tanto a la empresa como al Centro Nacional de Respuesta ante Incidentes. Ahí entendí que el problema ya no afectaba solamente a una empresa, sino a los datos personales de muchísima gente.
—¿El objetivo nunca fue demostrar que podías hackear el sistema?
—No. El objetivo siempre es que las vulnerabilidades se solucionen. Uno muestra cómo se puede ingresar para que la empresa entienda dónde está el problema y pueda corregirlo. Muchas veces, cuando hay buena predisposición, terminamos trabajando juntos para encontrar la mejor solución.
—¿Ese trabajo lo hacés como hobby o también es tu profesión?
—Trabajo en seguridad informática para una aseguradora de Buenos Aires. Tengo 28 años y empecé hace cinco con este tipo de investigaciones. Estudié un tiempo en la Universidad Nacional de Río Cuarto, pero me terminó gustando mucho más entender cómo funcionaban los sistemas y encontrar sus vulnerabilidades que desarrollarlos.
—Cuando encontrás una vulnerabilidad, ¿también colaborás para solucionarla?
—Sí. En realidad, uno no rompe el sistema, rompe la seguridad que protege el ingreso. Después, si la empresa responde y quiere corregir el problema, generalmente colaboro explicando cuál podría ser la solución. De hecho, hoy mi trabajo consiste justamente en eso: encontrar vulnerabilidades y ayudar a los desarrolladores a corregirlas.
—¿Existe el riesgo de que una empresa termine denunciando a quien descubre una vulnerabilidad?
—Sí, porque la línea es muy fina. Uno hace todo de buena fe, reporta varias veces el problema y busca que se corrija. En este caso la comunicación con la Municipalidad fue excelente, pero siempre existe la posibilidad de que alguna empresa lo interprete de otra manera. Técnicamente uno está vulnerando un sistema, aunque el objetivo nunca sea obtener ganancias, vender información ni perjudicar a nadie, sino proteger los datos de todos.
—¿Lo ocurrido con el sistema de transporte puede repetirse en otras áreas?
—Sí. Y ese es justamente el punto importante. No es un problema exclusivo del Estado ni de la Municipalidad. Puede ocurrir en cualquier empresa privada o en cualquier servicio que usamos todos los días. Hay colegas cordobeses que presentaron investigaciones sobre antenas de telefonía o aplicaciones bancarias. La seguridad informática es un desafío transversal.
—También investigaste sistemas de estacionamiento medido.
—Era una plataforma utilizada en Río Cuarto y otras ciudades. Se podía acceder a bases de datos completas con información de vehículos y usuarios. Lo reportamos, la empresa respondió muy bien y el problema se solucionó muy rápido. Cuando hay voluntad de trabajar en conjunto, las cosas se pueden corregir.
—¿Cuál es el principal consejo para cualquier usuario?
—Desconfiar. Todos los días recibimos llamados, correos electrónicos, mensajes de WhatsApp o de redes sociales que pueden ser intentos de estafa. Hay que verificar siempre antes de responder y compartir la menor cantidad posible de información personal en internet. Una vez que esos datos circulan, ya no sabemos dónde pueden terminar.
Qué dijeron desde la Municipalidad
La Municipalidad de Córdoba, a través del secretario de Ciudad Inteligente y Transformación Digital municipal, Ignacio Gei, se puso en contacto con Ignacio Navarro. “El objetivo del contacto fue conocer mayores detalles sobre cuándo se produjo el acceso, a qué sistema de información se pudo acceder, qué datos estuvieron disponibles y qué acciones se realizaron posteriormente”, informó el municipio.
Navarro brindó detalles sobre la vulnerabilidad detectada y reiteró que había comunicado el hallazgo a la empresa proveedora del servicio para que pudiera solucionar el punto vulnerable. La empresa involucrada presta servicios de control de flota de ómnibus —presta este servicio desde hace más de cinco años a la exempresa Tamse— y seguimiento de taxis y remises.
