E-04153-2014

1/8 Expediente Nº: E/04153/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante BONOPARK, S.L. en virtud de denuncia presentada por doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 4 de julio de 2014 tiene entrada en esta Agencia un escrito de doña A.A.A., en el que se declara usuaria del servicio de alquiler de bicicletas de Madrid, BiciMAD, y denuncia una incidencia de seguridad a la que se han referido los medios de comunicación. En particular, la denunciante se refiere a un artículo publicado en fecha 26 de mayo de 2014 en el sitio web de la Cadena Ser, con el siguiente titular: “Un fallo de seguridad de BiciMad deja al descubierto datos personales”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento, en resumen, de los siguientes extremos: 1. Se ha constatado que en el artículo al que se refiere la denunciante se expone: <<[…] cualquier persona con unos mínimos conocimientos en informática puede acceder a todos los datos personales de los más de mil madrileños que se han abonado al nuevo sistema de bicis eléctricas. Solo con saber el número de DNI: el informático tendría acceso al nombre completo del usuario, su dirección postal o por ejemplo el teléfono, a excepción, eso sí, del número de cuenta bancaria… Desde la empresa Bonopar, la adjudicataria del BiciMad, aseguran que no existe fallo de seguridad en la aplicación móvil y que nadie ajeno puede acceder a la base de datos. […], Director de Bonopar, insiste en que: "Nuestra base de datos es segura. No ha habido ningún acceso a la base de datos de los datos personales de clientes y tampoco hemos registrado ningún ataque. No obstante ya hemos separado los servidores, hemos actualizado la aplicación móvil." Lo único que ha podido ocurrir, matiza […] es que "si es cierto hay algunas máquinas simuladoras de consultas que lo que pretenden es dar la misma información que BiciMAD y que se conectan continuamente a nuestro servidor. >> 2. Mediante diligencia de fecha 7/7/2014 se comprueba: a. En la página web www.bicimad.es se tiene posibilidad de registrarse en el servicio de bicicletas BiciMad. b. Un enlace denominado “Política de Privacidad” da acceso a la página principal del sitio web. c. Un enlace denominado “Condiciones de Uso” da acceso a un documento en formato pdf, referido a la aprobación de las condiciones de uso del servicio. d. Un enlace denominado “Inscribirse” da acceso a un formulario mediante el cual se recaban los datos personales de las personas que deseen abonarse al servicio. Se recaban los siguientes datos personales: tipo de documento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 identificativo (NIF, tarjeta de residente o pasaporte), número de documento, nombre, primer y segundo apellido, fecha de nacimiento, teléfono móvil, dirección de correo electrónico, dirección postal, municipio, provincia y código postal. e. A través del enlace denominado “Descarga nuestra APP” se tiene acceso a la descarga de las aplicaciones para distintos sistemas operativos móviles. f. A través del enlace denominado “Área de Usuario” se tiene acceso a una página no cifrada en la que se solicita el número de documento y contraseña. En dicha página se presenta un enlace con el literal “Regístrese aquí”, que conduce a la página de registro señalada. Dispone igualmente de un enlace denominado “Olvidé mi Contraseña”, que da acceso a una página no cifrada en la que se presenta un formulario a través del cual se solicita el DNI y la dirección de correo electrónico. 3. Mediante diligencia de fecha 28/7/2014 se comprueba que: a. Figura publicado en Internet un artículo con el título “Auditoría de seguridad: BiciMAD” (URL http://eskerda.com.............) en el cual su autor asegura haber realizado una auditoría parcial, mediante el uso de varias herramientas informáticas (Dex2jar, apktool,

1. jd)por medio de las cuales ha tenido acceso al código fuente de una serie de funciones de la aplicación web que permite operar el sitio, de las que da una relación, entre las que se encuentran: - get_datos_usuario.php: función con la que se tendría acceso a los datos de usuario. - get_usuario_por_dni.php: función con la que se podría tener acceso a un usuario dado, a partir de su DNI. - update_usuario.php: función por la que se podrían cambiar los datos de un usuario. - change_password.php: función con la que se podría cambiar la clave de un usuario. Las pruebas aportadas acreditan que el autor ha tenido conocimiento de la existencia de dichas funciones, no de que haya sido capaz de activarlas y obtener datos personales a través de ellas. b. Manifiesta el autor haber demostrado que ha tenido acceso al código de una de dichas funciones (get_all_estaciones.php) y, de idéntica forma, tendría acceso a cualquiera de ellas. Esta función no tiene acceso a datos personales, sino a los datos de las estaciones, que no necesitan estar protegidos. c. Muestra igualmente haber tenido acceso al directorio virtual en el que estaban almacenado el código de dichas funciones, mostrando la imagen del mismo. d. Se observa que en el directorio virtual expuesto, figura un fichero denominado BiciMADCK.pem. La extensión “pem” indica que el fichero contiene una firma electrónica según el protocolo X.509, un estándar de la ISO (Organización Internacional de Normalización) dedicado a la firma electrónica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 e. Aunque el autor oculta las direcciones IP desde las que estuvo expuesta esta información, se puede comprobar en otras páginas de Internet que dicha IP es operada por GIGAS HOSTING SL. f. No consta que el autor haya tenido acceso a datos personales. 4. Realizada una consulta al Registro General de Protección de Datos se comprueba que figura registrado un fichero denominado “USUARIOS SERVICIOS DE BICICLETA PUBLICA MADRID”, cuyo responsable es BONOPARK, S.L. Según la declaración, dicho fichero contiene únicamente datos de carácter identificativo, disponiendo de medidas de seguridad de nivel básico. 5. En fechas 1 y 14 de octubre de 2014 se realizaron visitas de inspección a BONOPARK, S.L. Entre las declaraciones realizadas por los representantes de la entidad figuran las siguientes: a. BONOPARK es una pyme constituida en mayo de 2009, comenzando su actividad en Madrid tras la adjudicación en noviembre de 2013 del concurso publicado por el Ayuntamiento de Madrid (en adelante, el Ayuntamiento). b. El Ayuntamiento sacó a licitación pública una serie de servicios. Según la convocatoria de la licitación, ésta fue dividida en lotes. El lote número 5 consistía en un servicio público de bicicletas y de vallas para eventos públicos, que fue adjudicado a BONOPARK. En la licitación consta una serie de servicios dentro de los cuales figura la creación de un sistema mediante el cual el Ayuntamiento tiene acceso a la información de la ejecución del contrato. Las bases de la licitación constan en la web del Ayuntamiento (www.madrid.es). En las bases de la licitación figura la Cláusula 34. Protección de datos de carácter personal, en la que específicamente se recuerda a la entidad adjudicataria la obligación del cumplimiento de la LOPD, así como del deber de formar e informar a su personal respecto de las obligaciones que, en materia de protección de datos, estén obligados a cumplir en el desarrollo de sus tareas. c. El sistema de información de gestión de las bicicletas (en adelante BiciMAD), fue desarrollado e implantado por personal propio de la entidad. El sistema fue alojado en cuatro servidores virtuales de la entidad GIGAS HOSTING S.L. que daba el servicio de plataforma hardware sobre infraestructura cloud, así como el servicio de copias de seguridad. La configuración de los servicios en ejecución en dichos servidores era realizada por el propio personal de BONOPARK. Aporta la entidad copia de dicho contrato, en el que se aprecia que, entre las medidas se seguridad contratadas, aparecen los servicios de red privada virtual (NPN), cortafuegos, red de área local virtual (VLAN) y copia de seguridad. d. El sistema informático consiste en cuatro servidores virtuales, a los que se encuentran conectados 130 Tótems y 3122 anclajes, en los que se colocan las bicicletas. Todos los sistemas disponen de un software de control: - C/ Jorge Juan, 6 28001 – Madrid Los servidores virtuales recaban información de los Tótems. Igualmente corren los servidores web a los que se tiene acceso a través de internet, ya www.agpd.es sedeagpd.gob.es 4/8 sea por medio de ordenadores personales, o de móviles. - Los Tótems constituyen interfaces con los usuarios del sistema, tienen su propio sistema operativo, recaban información de los anclajes y los retransmiten a los servidores. - Los anclajes recaban información de las bicicletas, y se la comunican a los Tótems. Actualmente, la información transmitida es únicamente la identificación de la bicicleta y el número de tarjeta del cliente usuario de la misma. Para securizar el sistema todos ellos utilizan comunicaciones cifradas. e. La aplicación proporciona un acceso web a través de la dirección www.bicimad.com. A través de ella se puede dar de alta en el sistema todo aquel que lo desee, proporcionando los datos básicos identificativos, así como una dirección de correo electrónico, a la que se remiten dos claves de acceso: - Una primera clave, que permite la obtención en los tótems de una tarjeta RFID con la que se podrá utilizar el servicio de bicicletas. Es una clave de un solo uso para la obtención de la tarjeta. - Una segunda clave, que permite el acceso al área de usuario de la web www.bicimad.es, utilizando como identificador de usuario el DNI facilitado en el momento de la inscripción. f. La puesta en marcha del servicio fue el 23/6/2014. Desde el mismo momento de la puesta en marcha se detectaron diversos ataques de denegación de servicio. Debido a estos ataques y a la aparición en internet de múltiples noticias referentes a ataques informáticos presuntamente exitosos contra el sistema BiciMAD, con fecha 26 de junio se procedió a contratar servicios informáticos externos con las entidades TIM SERVICIOS INFORMÁTICOS EN LA RED S.L. (en adelante TIM) y VENAVER NETWORK, ORGANIZATIONS AND SOLUTIONS S.L. que, tras analizar las noticias aparecidas en prensa, no pudieron constatar que se hubiese extraído información personal de los servidores de BONOPARK. Examinados los logs de los sistemas, tampoco se encontró información que hiciese pensar que se hubiera producido acceso indebido a los datos personales de los clientes. En dichos logs se detectó la existencia de ataques de inyección de SQL contra uno de los servidores que dan soporte al servicio, en particular, a la aplicación móvil BiciMAD. Se identificaron algunas direcciones IP desde las que se habían producido dichos ataques, pero no se encontró evidencia de que se hubiera extraído información. Se crearon nuevos servidores virtuales, modificándose todas las contraseñas, tanto de los servidores, como de los equipos informáticos ubicados en los tótems y se desarrollaron mejoras en la arquitectura de seguridad del sistema. 6. Los inspectores de la Agencia solicitaron el acceso a los sistemas de información de la entidad inspeccionada, realizando entre otras las siguientes comprobaciones: a. Habiendo solicitado que se restaurase una copia del directorio bicimadMovil/functions en el estado que se encontraba el día 26 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 junio de 2014, los representantes de la entidad manifiestan que no pueden recuperar el estado exacto de esos programas. Por ello, recuperan el estado más similar de que disponen (Index of /app/app/functions). Se comprueba que al pinchar en distintos ficheros fuente se provoca la ejecución de los programas, generándose un mensaje de error “Acceso no permitido”. Se recaba copia de los mensajes generados por los programas get_usuario.php, change_password.php y get_datos_usuario.php. Los inspectores señalan que el directorio cargado (/app/app/functions) parece ser distinto del directorio web publicada en internet, que sería el de la aplicación para móviles (bicimadMovil/functions), manifestando los representantes de la entidad que la ruta se ha modificado al modificarse los servidores. Solicitan los inspectores que se cargue una librería más antigua, dado que la cargada muestra en los ficheros fecha del 1/10/2014, manifestando los representantes de la entidad que no tienen control de versiones, con lo que no mantienen versiones anteriores de las librerías. Se solicita el código fuente incluido en el fichero get_all_estaciones.php. Examinado el código fuente, se encuentra que dispone, como medida de seguridad, que las peticiones al servidor de base de datos incluyan el par usuario/contraseña codificada y que, en caso de no pasar el chequeo de seguridad, se devuelve un mensaje de “Acceso no permitido”. b. Se solicita el acceso a la tabla en la que se registran las claves de los usuarios. Se accede a la tabla residentes que, según informan los representantes de la entidad, recoge los datos personales de los clientes del servicio, verificándose que entre los datos personales figuran el DNI, nombre y apellidos, dirección, teléfono, dirección de correo electrónico. Se verifica que también aparece la clave de acceso (password) y la clave de la tarjeta, figurando ambas en campos cifrados. Se observa que todos los datos personales recogidos son de nivel bajo. 7. Solicitado el acceso al registro de incidencias, aportan los representantes de la entidad un informe relativo a la incidencia, en el cual figura que fue detectada en fecha 23 de junio, recogiendo las actuaciones posteriores realizadas. La incidencia aparece fechada el día 8 de julio, y según la descripción, de los 131 tótems, 18 de ellos habían sido atacados. Tanto los servidores como la red de tótems estaban siendo objeto de ataques externos, no habiéndose constatado que los intentos de acceso hubieran sido exitosos. Se realizaron distintas actuaciones dirigidas a fortalecer las medidas de seguridad. 8. Aporta finalmente la entidad copia del documento de seguridad y de la denuncia presentada ante la Policía Nacional, en la que se hace referencia a las direcciones IP desde las cuales se identificó por la entidad que habían procedido los ataques. Realizadas consultas de geolocalización de las IPs origen de los ataques, se ha podido comprobar que todas ellas corresponden a equipos ubicados fuera de España. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, se detallan los requisitos de seguridad que han de reunir los ficheros y tratamientos de datos de carácter personal, en función de la tipología de los datos involucrados. En el presente caso, en el que se ha tenido constancia de los intentos de acceso a la plataforma que aloja el fichero de usuarios de BiciMad por personas con notables conocimientos técnicos, procede tener en consideración la Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25 de febrero de 2010 que, en relación con un caso similar al presente, señala lo siguiente: "En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por el ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de la misma. Y tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad. El principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita después de la STC 76/1999, que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito del derecho administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1999, de 19 de diciembre (RTC C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 1991/246), señaló que la culpabilidad constituye un principio básico del Derecho administrativo sancionador. Culpabilidad, que no concurre en la conducta analizada de Portal Latino". No obstante, aunque en la Sentencia no se considera probada una vulneración del artículo 9 de la LOPD, sí se aprecia una conducta infractora por parte del responsable del fichero, en concreto la vulneración del deber de guardar secreto, al apreciar su tardanza en adoptar un comportamiento activo para impedir que se hicieran públicos en internet los datos personales comprometidos. En el marco de las actuaciones de inspección realizadas por esta Agencia al respecto de casos de intrusión en sitios web (particularmente, en los procedimientos A/00368/2011, PS/00422/2012, A/00031/2013), se puso de manifiesto que los accesos indebidos a datos personales se habían visto favorecidos por la existencia de determinadas vulnerabilidades, ocasionadas por notables deficiencias en la implantación de las preceptivas medidas de seguridad por parte de los responsables del tratamiento. En el presente caso no se ha constatado que los datos personales de los usuarios del servicio BiciMad hubieran sido accedidos por terceros no autorizados. Tampoco ha logrado acreditarse por la Inspección de Datos el incumplimiento de ninguna de las obligaciones reglamentariamente previstas para los ficheros de nivel básico. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 2 PROCEDER AL ARCHIVO de las presentes actuaciones. 3 NOTIFICAR la presente Resolución a BONOPARK, S.L. y a doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es