El ciberataque del pasado 3 de septiembre no llegó a paralizar el servicio, pero afectó a la plataforma de gestión y dejó expuestos datos personales de usuarios que ahora deberán ser informados
El pasado 3 de septiembre, la plataforma de gestión de BiciElx sufrió un ciberataque que, aunque consiguió ser frenado antes de provocar la interrupción del servicio, obligó al equipo de Tecnologías de la Información de PIMESA a actuar para contener la intrusión, restaurar los datos modificados y analizar qué había ocurrido.
Un mes después, la historia ha dado un paso más. La persona que PIMESA identifica como autora del ataque se presentó en las instalaciones de la empresa municipal, reconoció su autoría y aportó documentación relacionada con lo ocurrido. La empresa presentó una denuncia ante la Policía Nacional y el responsable ha pasado a disposición judicial.
BiciElx siguió funcionando mientras se producía el ataque
Una de las circunstancias que puede resultar más llamativa para cualquier usuario es que, mientras se producía el incidente, BiciElx continuó funcionando con normalidad.
El ataque afectó a la plataforma de gestión, pero los técnicos de PIMESA consiguieron bloquearlo antes de que alterara el funcionamiento habitual del servicio. Se detectaron cambios de contraseñas, principalmente en cuentas antiguas y en su mayoría inactivas, y los datos modificados fueron restaurados posteriormente.
Es decir, una persona podía seguir utilizando una bicicleta del servicio municipal sin saber que, al otro lado, los técnicos estaban trabajando para cerrar una puerta que alguien había conseguido abrir.
Ese es precisamente uno de los aspectos más delicados de los ataques informáticos: muchas veces el usuario no ve absolutamente nada.
Un ataque realizado por fases y con inteligencia artificial
PIMESA ha explicado que no se trató de un único intento aislado.
El ataque se desarrolló en diferentes fases, combinando comprobaciones manuales y procesos automatizados mediante un agente de inteligencia artificial capaz de adaptar sus acciones en función de los resultados obtenidos.
El dato resulta especialmente llamativo porque estamos acostumbrándonos a hablar de la inteligencia artificial como una herramienta para trabajar, crear imágenes, escribir o buscar información.
Aquí aparece en otro escenario: como parte de una operación de ataque informático.
Eso no significa que la inteligencia artificial haya actuado por sí sola ni permite conocer, con la información publicada, todos los detalles técnicos del procedimiento. Lo que sí ha confirmado PIMESA es que el ataque incorporó procesos automatizados mediante un agente de IA que iba adaptando sus acciones.
La parte que afecta directamente a los usuarios
PIMESA ha confirmado que se produjo una brecha de seguridad y que determinados datos personales quedaron expuestos. Por este motivo, la empresa municipal comunicará el incidente a las personas usuarias cuyos datos personales se hayan visto afectados, de acuerdo con las obligaciones establecidas por el Reglamento General de Protección de Datos.
La información publicada hasta ahora no detalla públicamente qué datos concretos corresponden a cada persona afectada.
Por eso creo que es importante no generar alarma innecesaria. Que exista una brecha de seguridad no significa automáticamente que todos los usuarios de BiciElx hayan sufrido un perjuicio ni que todos sus datos hayan quedado expuestos.
Serán las comunicaciones individuales de PIMESA las que deberán concretar quién está afectado y qué información se ha visto comprometida.
PIMESA activó los protocolos de seguridad
La empresa municipal asegura que desde el primer momento activó los protocolos previstos y comunicó el incidente a su Delegado de Protección de Datos, al Centro Criptológico Nacional (CCN-CERT), a la Agencia Española de Protección de Datos (AEPD) y al Centro de Seguridad TIC de la Comunitat Valenciana (CSIRT-CV).
También presentó la correspondiente denuncia ante la Policía Nacional.
Después llegó uno de los episodios más curiosos de esta historia: el propio autor acudió a PIMESA, reconoció su participación y ofreció colaborar en el análisis de lo ocurrido aportando documentación.
La denuncia siguió adelante y ahora el caso ha llegado a disposición judicial.
A partir de aquí serán las autoridades y la Justicia quienes tendrán que determinar las posibles responsabilidades. Por eso, aunque hablemos del «autor» porque así lo ha comunicado PIMESA tras su reconocimiento, la existencia de responsabilidad penal definitiva corresponde determinarla a la autoridad judicial.
El susto también deja deberes para el futuro
Una vez cerrado el agujero que permitió el ataque, PIMESA prepara nuevas medidas para reforzar la seguridad de BiciElx.
Entre ellas está la creación de un nuevo servidor exclusivo para las aplicaciones web corporativas de gestión de servicios, la implantación del doble factor de autenticación y la contratación de una auditoría de seguridad que permita evaluar las medidas adoptadas y detectar posibles vulnerabilidades.
Son medidas que llegan después de un episodio que, aunque no paralizó las bicicletas, ha demostrado que ningún servicio conectado a internet está completamente al margen de este tipo de amenazas.
Y conviene recordar que PIMESA es una empresa pública municipal que gestiona, entre otros servicios, BiciElx, el sistema de transporte público en bicicleta de la ciudad.
Un nuevo aviso sobre la seguridad de los servicios públicos
Quizá la lectura más interesante de todo lo ocurrido esté precisamente ahí.
El ataque a BiciElx llega poco más de un año después del grave ciberataque que sufrió el Ayuntamiento de Elche en 2025, un incidente que afectó a sistemas municipales y obligó a poner en marcha un amplio proceso de recuperación y refuerzo de la seguridad. Alicante Plaza sitúa ambos episodios en un contexto de creciente preocupación por la ciberseguridad de las administraciones y entidades públicas.
No son el mismo ataque ni afectan al mismo sistema y no hay que mezclarlos. Pero sí dejan una enseñanza común: los servicios públicos también están en el punto de mira de quienes buscan vulnerabilidades en los sistemas informáticos.
En el caso de BiciElx, la respuesta técnica permitió que las bicicletas siguieran funcionando y que los datos modificados fueran restaurados antes de que los usuarios detectaran anomalías.
Ahora queda otra parte de la historia: informar a quienes puedan haberse visto afectados, reforzar las defensas y dejar que la Justicia determine las responsabilidades que correspondan.
Porque detrás de una aplicación, una contraseña o una base de datos hay algo que muchas veces olvidamos: hay personas.
Y cuando se produce una brecha de seguridad, son precisamente esas personas las que tienen derecho a saber qué ha ocurrido.
