Una falla en una aplicación de estacionamiento medido expuso los datos de casi 10 mil pilarenses, como números de patentes, y lugares y horarios en donde se dejaron los autos.
El error es de la empresa MovyPark, que trabaja en varias ciudades, como Escobar y Córdoba. Si bien la app que se usa en Pilar es la desarrollada por la Universidad de La Plata (SEM Pilar); una firma que también desarrolló MovyPark (PlusMobil) había sido contratada por el municipio para gestionar los estacionamientos que se iniciaban mediante SMS o el sistema IVR.
Si bien el vínculo con esa compañía se extinguió los primeros meses de este año, debido a los altos costos que le significaba a la Comuna sostener ese servicio cuando cada vez eran menos los conductores que lo usaban, la base de datos se siguió compartiendo.
Pilar de Todos tuvo acceso al listado completo de estacionamientos iniciados en días de marzo de este año, donde aparecen no solo los números de patentes de los autos, sino también horarios de inicio de estacionamiento y ubicación mediante coordenadas. Los números de patentes se publican más abajo, aunque se omitió el dato de lugar, fecha y hora de inicio del estacionamiento, para resguardar la privacidad de las personas.
La filtración de los datos quedaron expuestos en la webapp de MovyPark, ya que la información no estaba encriptada y se pudo acceder a ella por tiempo indeterminado.
En el caso de Córdoba se detectó, además, una vulnerabilidad que permitía acceder a datos de tarjetas de crédito y débito de los usuarios, ya que allí sí trabaja MovyPark, pero ese no habría sido el caso de Pilar, donde solo se filtraron números de patentes y lugares exactos y horarios de estacionamiento.
La investigación fue detectada por una investigación del diario de Córdoba La Voz del Interior, con la colaboración del doctor en Física y desarrollador Gastón Ávila, quien había advertido de las múltiples falencias que presentaba el servicio prestado por MovyPark desde 2017, cuando comenzó a funcionar en aquella capital provincial.
Ávila, incluso, pudo entrar a la cuenta de los usuarios, iniciar y cerrar el estacionamiento, e incluso pagar con el saldo de una persona el servicio a otro conductor.
Si bien MovyPark aseguró que la vulnerabilidad solo afectó a los usuarios de Córdoba, Pilar de Todos recibió información de un desarrollador anónimo quien entregó el listado completo de más de 12 mil patentes de autos que iniciaron estacionamiento en Pilar, con las coordenadas exactas en donde dejaron aparcado el auto, con fechas y horarios. Vehículos de periodistas de este medio aparecen en esa nómina, aunque el desarrollador explicó que en el caso de Pilar no se habrían filtrado datos de tarjetas de crédito o débito, ya que MoviPark prestaba servicios de SMS o IVR en el distrito, en donde los saldos se descontaban de compras en kioscos.
Patentes Pilar by Pilar de Todos on Scribd
