El presumpte responsable del ciberatac informàtic del passat 3 de setembre contra la plataforma de gestió de Bicielx, el servici municipal de lloguer de bicicletes d’Elx, ha quedat a disposició judicial després de la denúncia presentada per l’empresa municipal Pimesa davant la Policia Nacional.
Segons ha informat Pimesa, l’equip de Tecnologies de la Informació va detectar i va aturar l’atac abans que afectara el funcionament quotidià del servici. Per això, Bicielx ha continuat operant amb normalitat en tot moment.
Els tècnics han explicat que els canvis realitzats en les dades s’han restaurat abans que les persones usuàries notaren cap anomalia. D’esta manera, l’impacte directe sobre el dia a dia del préstec de bicicletes ha sigut mínim.
Atac en diverses fases amb ús d’intel·ligència artificial
L’empresa ha detallat que l’atac s’ha desenvolupat en diverses fases. En primer lloc, s’han fet comprovacions manuals sobre el sistema. Després, s’han llançat processos automatitzats mitjançant un agent d’intel·ligència artificial.
Este agent adaptava les seues accions en funció dels resultats que anava obtenint en cada fase. Pimesa ha remarcat que este comportament ha complicat l’anàlisi tècnica de l’incident i ha exigit una revisió exhaustiva dels registres.
Després del ciberatac, el presumpte autor s’ha personat en les instal·lacions de Pimesa. Segons la versió de l’empresa, ha reconegut la seua participació en els fets i s’ha oferit a col·laborar en l’anàlisi del que ha passat.
Comunicació a organismes de seguretat i protecció de dades
Davant la gravetat de l’incident, Pimesa ha elaborat diversos informes tècnics sobre el ciberatac. A més, ha comunicat el cas al Delegat de Protecció de Dades de l’entitat.
La informació també s’ha remés al Centro Criptológico Nacional, organisme especialitzat en ciberseguretat. Igualment, s’ha notificat a l’Agencia Española de Protección de Datos i al Centre de Seguretat TIC de la Comunitat Valenciana.
L’empresa municipal ha confirmat que comunicarà la bretxa de seguretat a les persones usuàries afectades, és a dir, aquelles de les quals s’han vist exposats les seues dades personals. Esta actuació respon al que establix el Reglament General de Protecció de Dades.
Segons Pimesa, la notificació s’ha d’adreçar només a les persones potencialment afectades per l’accés indegut a la informació. L’objectiu és que coneguen el risc, puguen extremar precaucions i tinguen constància formal de l’incident.
Noves mesures per a reforçar la seguretat
Arran del ciberatac, Pimesa prepara un paquet de mesures per a reforçar la seguretat de la plataforma de Bicielx i de les aplicacions corporatives relacionades.
Entre les actuacions previstes, figura la implantació d’un servidor exclusiu per a les aplicacions web corporatives. Amb esta separació, l’empresa busca limitar l’abast d’un possible atac futur i millorar el control sobre els accessos.
A més, es posarà en marxa el doble factor d’autenticació per a l’accés als sistemes. Este mecanisme exigix una comprovació addicional a més de la contrasenya, la qual cosa dificulta que actors no autoritzats puguen entrar encara que coneguen les credencials.
Pimesa també ha anunciat la realització d’una auditoria de seguretat completa sobre la plataforma. Esta revisió ha d’identificar possibles vulnerabilitats, proposar correccions i establir protocols més estrictos de prevenció i resposta davant futurs incidents.
