Seúl ofrece pases gratuitos de un mes para compartir bicicletas a más de 4,6 millones de personas cuya información personal fue expuesta en un ciberataque contra su servicio público de alquiler de bicicletas Ttareungi. La compensación sigue a una brecha de datos en 2024 que afectó a millones de usuarios registrados y provocó una investigación por parte de las autoridades surcoreanas.
La Seoul Facilities Corporation, que opera el servicio, informó que los usuarios elegibles recibirán un pase de 30 días que permite una hora de uso gratuito de la bicicleta cada día. Según los medios locales, los cupones se distribuirán a través de la aplicación móvil Ttareungi en agosto y deberán canjearse en un plazo de tres meses. Los suscriptores existentes podrán activar el beneficio una vez que expire su pase actual.
La brecha ocurrió en junio de 2024, cuando dos adolescentes obtuvieron acceso no autorizado a los servidores de Ttareungi y extrajeron información personal perteneciente a unos 4,62 millones de usuarios. Las autoridades indicaron que los datos robados incluían nombres, números de teléfono, fechas de nacimiento, identificaciones de cuentas, información de género y peso corporal.
Dependiendo de la información proporcionada por los usuarios al registrarse, algunos registros afectados también contenían direcciones de correo electrónico, códigos postales, domicilios o datos de tutores. Los funcionarios no han dicho que todas las cuentas afectadas contuvieran todos estos campos de datos.
Tras descubrir la intrusión, la Corporación de Instalaciones de Seúl informó del incidente a la Agencia Nacional de Policía y a la Comisión de Protección de Información Personal. La organización también notificó a los usuarios afectados poco después de identificar la brecha.
Se estableció una fuerza de emergencia con el Gobierno Metropolitano de Seúl para investigar las debilidades que permitieron a los atacantes comprometer el servicio. Los funcionarios dijeron que la revisión se centró en vulnerabilidades en el sistema de autenticación de la aplicación.
La corporación también reforzó los controles de seguridad tras el incidente. Según los funcionarios, el sistema vulnerable fue parcheado, mejoradas las capacidades de monitorización y se introdujeron pruebas de seguridad adicionales para reducir el riesgo de ataques similares.
Las autoridades dijeron que examinaron las bases de datos comprometidas para determinar qué información había sido expuesta para usuarios individuales. Las notificaciones explicaban qué categorías de datos personales podrían haberse visto afectadas y aconsejaban a los clientes que permanecieran alerta ante posibles estafas.
Aunque la información personal expuesta puede usarse en campañas de phishing o fraude de identidad, las autoridades de Seúl dijeron que no han confirmado ningún caso en el que los datos robados de Ttareungi hayan sido mal utilizados. También dijeron que no han encontrado pruebas de que la información haya sido distribuida con fines criminales.
Tras la brecha, el presidente de Seoul Facilities Corporation, Han Kook-young, pidió disculpas a los usuarios y se comprometió a reforzar la seguridad del servicio. Dijo que la organización reformará sus medidas de protección para que los residentes puedan seguir usando Ttareungi sin preocuparse por su información personal.
El operador también aconsejó a los usuarios tener cuidado con llamadas telefónicas no solicitadas o mensajes de texto que afirmen proceder del servicio de bicicletas compartidas. Se instó a los clientes a no abrir enlaces sospechosos ni instalar aplicaciones desconocidas que pudieran usarse en ataques de phishing.
Según medios surcoreanos, los dos adolescentes sospechosos de la intrusión han sido remitidos a los fiscales. Los procedimientos legales continúan, mientras las autoridades continúan vigilando cualquier uso indebido confirmado de los datos robados durante la brecha de 2024.