Un cordobés mostró cómo hackeó el transporte de Córdoba y lo contó en una conferencia en Las Vegas

En el marco del denominado Hacker Summer Camp en Las Vegas —el evento anual que reúne a más de 30.000 especialistas de todo el mundo junto a conferencias como Black Hat y DEF CON—, el investigador argentino Ignacio Navarro presentó una alarmante investigación sobre la fragilidad de la infraestructura pública. 

Bajo el título Every ride you take: Hacking a City’s Public Transportation, el hacker cordobés detalló en la BSides Las Vegas cómo logró acceder a prácticamente todo el ecosistema tecnológico que administra el transporte público de Córdoba.

Según un informe publicado por el diario Clarín, las vulnerabilidades detectadas permitían tomar el control de sistemas de colectivos y taxis, plataformas de recargas, cámaras de seguridad en vivo y hasta bases de datos administrativas. Lo más crítico: el sistema expuesto contaba con herramientas funcionales para apagar o inmovilizar vehículos a distancia.

/Inicio Código Embebido/

La investigación se basó en una técnica conocida como "encadenamiento de vulnerabilidades", donde la combinación de fallas menores terminó comprometiendo plataformas utilizadas a diario por más de 1,5 millones de personas.

Entre los hallazgos más graves, Navarro accedió a:

Datos personales expuestos: una carpeta con más de 20.000 imágenes de documentos de identidad, recibos de sueldo y certificados escolares.

Información masiva: una base con más de cinco millones de tarjetas de transporte y unas 6.000 cuentas administrativas con contraseñas protegidas de forma insuficiente.

Videovigilancia: el control de los equipos DVR de más de 1.400 dispositivos distribuidos en más de diez provincias, lo que permitía ver cámaras en vivo y acceder a grabaciones.

Control operativo: herramientas administrativas capaces de interrumpir el servicio masivamente o manipular el funcionamiento de las unidades.

“En ese momento decidí detener la investigación y reportar inmediatamente el problema tanto a la empresa como al CERT nacional”, explicó Navarro a Clarín. 

Las fallas fueron corregidas antes de que fueran aprovechadas por atacantes reales, en el marco de una práctica de seguridad "ofensiva" que busca alertar y emparchar sistemas sin fines maliciosos.

El especialista remarcó la necesidad de tratar a las plataformas de movilidad como infraestructura crítica, a la par de bancos o redes eléctricas. 

"El transporte público es un servicio esencial que millones de personas utilizan para ir a trabajar o estudiar. Una interrupción masiva genera un efecto en cadena que excede lo informático", advirtió.

Navarro, de amplia trayectoria internacional en ciberseguridad, cuestionó además la falta de canales ágiles en las dependencias públicas e instituciones para recibir reportes de hallazgos y remarcó la importancia de incorporar la seguridad desde la primera etapa de desarrollo del software.