Un investigador argentino logró acceder a prácticamente todo el ecosistema tecnológico utilizado para administrar el transporte público de Córdoba: sistemas de colectivos y taxis, plataformas de recarga, tarjetas de pasajeros, cámaras instaladas en vehículos, información personal y cuentas administrativas. Algunas de las herramientas expuestas incluso permitían apagar o inmovilizar unidades a distancia.
Ignacio Navarro, hacker cordobés, reportó las vulnerabilidades a la empresa responsable y al CERT nacional, que coordina la respuesta ante incidentes informáticos, y los problemas fueron corregidos antes de que pudieran ser aprovechados por atacantes. Presentó los detalles de su trabajo en una charla titulada Every ride you take: Hacking a City’s Public Transportation, una conferencia de BSides Las Vegas. La exposición formó parte del denominado Hacker Summer Camp, la semana en la que Las Vegas reúne algunos de los principales eventos de ciberseguridad del mundo, junto a Black Hat y DEF CON, las dos principales.
La investigación mostró que una sucesión de fallas que parecían menores podía permitir el acceso completo a sistemas utilizados diariamente por más de 1,5 millones de personas. Navarro encontró la posibilidad de que se filtraran datos sensible de miles de usuarios y herramientas capaces de interferir con el funcionamiento cotidiano del transporte. Su investigación llegó a tiempo para evitar posibles abusos del sistema.
“Durante la investigación encontré una carpeta con más de 20.000 imágenes de documentos de identidad, recibos de sueldo, certificados de residencia y certificados de escolaridad”, explicó Navarro a Clarín. Una de las bases de datos contenía, además, información de más de cinco millones de tarjetas de transporte y alrededor de 6.000 cuentas administrativas.
Según el investigador, las contraseñas estaban protegidas de manera insuficiente, por lo que era posible recuperarlas e ingresar a los sistemas con privilegios de administrador.
El caso se trató de una muestra más de la fragilidad de los sistemas atados al Estado: Renaper, Pami, Dirección Nacional de Migraciones y otras dependencias públicas fueron hackeadas durante estos últimos años.
Desde las tarjetas hasta las cámaras de los colectivos
El acceso inicial permitió descubrir nuevas vulnerabilidades y avanzar sobre otros componentes conectados. Esta técnica, conocida como “encadenamiento de vulnerabilidades”, consiste en combinar distintos errores que por separado podrían parecer limitados, pero que juntos permiten comprometer sistemas completos.
Navarro logró ingresar a plataformas de gestión y recarga, dispositivos instalados dentro de los colectivos y sistemas vinculados con taxis. También accedió al servicio utilizado para administrar los DVR de los vehículos, los equipos que reciben y almacenan las grabaciones de las cámaras de seguridad.
Mientras investigaba, se dio cuenta de que el problema era más grande de lo que creía: ese sistema controlaba más de 1.400 dispositivos distribuidos en más de diez provincias y permitía acceder tanto a las cámaras como a las grabaciones almacenadas. Su estudio también llegó hasta plataformas gubernamentales integradas con el ecosistema de transporte, tanto a nivel provincial como nacional.
“En ese momento decidí detener la investigación y reportar inmediatamente el problema tanto a la empresa como al CERT nacional”, contó Navarro. La empresa operadora del servicio fue mantenida en reserva por motivos de seguridad.
El riesgo más grave, sin embargo, no estaba solamente en la exposición de documentos o contraseñas. Entre las funciones administrativas había herramientas para controlar vehículos de manera remota, incluyendo opciones para apagarlos o inmovilizarlos.
Un atacante también podría haber alterado el funcionamiento de las tarjetas de transporte o interrumpido otros sistemas indispensables para la operación diaria. “Una interrupción masiva habría generado un efecto en cadena que excede ampliamente al sistema informático. El transporte público es un servicio esencial que millones de personas utilizan para ir a trabajar, estudiar o asistir a un turno médico”, explicó, antes de dar la charla, el investigador.
Según Navarro, una persona con intenciones maliciosas y el mismo nivel de acceso podría haber provocado inconvenientes simultáneos en distintos puntos del país.
Este tipo de investigaciones por parte de hackers se encuadra en lo que se conoce en el rubro como seguridad «ofensiva», esto es, probar cuán seguros son los sistemas para luego alertar y corregir antes de que lo explote un atacante. No existen indicios de que las vulnerabilidades hayan sido explotadas antes de ser reportadas.
La odisea para reportar el problema en Argentina: infraestructura crítica bajo la lupa
Los ataques a infraestructura crítica tienen un capítulo aparte en el mundo de la ciberseguridad. Ciberataques contra petroleras, como pasó en 2021 en Estados Unidos (Colonial Pipeline) o el más conocido del mundo, Stuxnet (un virus en plantas nucleares iraníes) en 2010, dan cuenta de lo que se puede hacer con un hackeo a un sistema y los efectos devastadores que pueden tener para una sociedad.
Por esto, para Navarro, el caso demuestra que las plataformas de movilidad deben recibir un nivel de protección similar al de bancos, redes de energía, servicios sanitarios y otros sectores considerados infraestructura crítica.
“Muchas veces se piensa en la seguridad de bancos o grandes empresas, pero el transporte también sostiene la vida cotidiana de millones de personas”, señala Navarro.
Lo interesante, que Navarro señaló durante su exposición, es que muchas veces los problemas no se deben a una vulnerabilidad compleja o difícil de explotar, sino que los sistemas de transporte están compuestos por aplicaciones, dispositivos, bases de datos y servicios desarrollados en distintos momentos y a veces por distintos proveedores. Esto multiplica la posibilidad de potenciales problemas: a medida que crecen y comienzan a conectarse con nuevas plataformas, pequeños errores de diseño pueden combinarse y producir consecuencias mucho mayores.
“Como ocurre con muchos sistemas, el objetivo suele ser que funcionen y lleguen al mercado lo antes posible. La seguridad queda para una etapa posterior o se va incorporando sobre la marcha”, criticó.
La recomendación principal, explica, es incorporar controles de seguridad desde el comienzo del desarrollo y no solamente después de un incidente o una auditoría. Corregir una falla cuando una plataforma ya se encuentra operativa suele ser más costoso y complejo que diseñarla desde el inicio para reducir los riesgos.
También resulta fundamental que empresas y organismos públicos tengan canales claros para recibir reportes de investigadores. A Navarro le costó mucho que le respondieran desde las entidades oficiales.
“Muchas veces, la primera reacción frente a un reporte es negarlo, minimizarlo o incluso ver al hacker como un problema. La seguridad mejora cuando existe colaboración entre quienes desarrollan los sistemas y quienes ayudan a encontrar sus debilidades de manera responsable. El objetivo de ambos debería ser el mismo: proteger a los usuarios y evitar que un incidente termine afectando un servicio esencial para millones de personas”, aseguró.
Navarro es un participante habitual del circuito internacional de conferencias de seguridad. En los últimos años expuso en eventos como DEF CON, H2HC, Troopers, LeHACK, NorthSec, TyphoonCon, Security Fest, SASCON y 8.8, además de Ekoparty en Argentina.
En 2024 presentó en esa conferencia una investigación sobre vulnerabilidades en el sistema de Sacoa, una de las cadenas de salones de videojuegos más conocidas del país. Las fallas permitían acceder a información de clientes e imitar las tarjetas utilizadas para jugar sin pagar. En ese caso, también trabajó con la empresa para solucionar los problemas.
BSides Las Vegas: una conferencia paralela que ya es parte del “hacker summer camp”
BSides nació en Estados Unidos en 2009 como una alternativa más abierta y comunitaria a los grandes eventos corporativos de ciberseguridad. Su nombre hace referencia al “lado B”: encuentros colaborativos y sin fines de lucro donde investigadores, estudiantes y profesionales pueden presentar trabajos técnicos y discutir problemas de seguridad.
El modelo se extendió posteriormente a decenas de ciudades. Mientras Las Vegas recibe a conferencias como Black Hat y DEF CON, BSides Las Vegas funciona como uno de los principales eventos paralelos de la semana.
La conferencia también tuvo una edición argentina. En mayo de 2025, BSides llegó por primera vez a Córdoba, con una jornada organizada en la Universidad Tecnológica Nacional. La actividad reunió a 300 asistentes presenciales, alcanzó los 700 registrados e incluyó nueve charlas técnicas.
Una particularidad de la conferencia son las “SkyTalks”, charlas a las cuales no está permitido entrar con teléfono celular debido a que no se puede registrar o grabar nada. Todo lo que se cuenta en esos espacios permanece allí y, de ser contado o publicado, no puede atribuirse a un speaker específico.
Un antecedente histórico que dio origen a las charlas fue el caso de Michael Lynn: en Black Hat 2005, Cisco y su empleador, Internet Security Systems, intentaron impedir que presentara una grave falla en los routers de la compañía, hicieron retirar sus diapositivas de los materiales de la conferencia y lo demandaron cuando decidió hablar de todos modos. Las SkyTalks se trasladaron a BSides Las Vegas en 2024.
Clarín participó de dos charlas de estas este año, a las que incluso hay que entrar con barbijos para no revelar identidad.
Más que nunca, lo que pasa en Vegas queda en Vegas, edición mundo hacker.
