La empresa Movypark, exprestataria del estacionamiento medido de la ciudad de Córdoba, denunció penalmente al exproveedor del software del servicio por haber presuntamente copiado su base de datos de 135 mil usuarios para quedarse con la concesión y afirmó que 853 nuevas transacciones habrían quedado expuestas a una segunda filtración masiva.
Tras quitarle la concesión a Movypark, la Municipalidad quedó a cargo del servicio. Pero el caso sigue dando coletazos, ya que en septiembre la Asociación Acción y Defensa del Consumidor e Inquilino (Adcoin) había presentado una demanda colectiva contra la empresa y había pedido que se le aplicara una multa millonaria.
Denuncia penal
En un nuevo capítulo del controvertido caso, Movypay Plus Mobile Communications UT (Movypark) denunció este lunes al Centro Superior para el Procesamiento de Información (Cespi), de la Universidad Nacional de La Plata (UNLP), ante el juez federal N° 1, Ricardo Bustos Fierro.
La compañía busca promover la acción penal "en pos de la condena de Cespi, sus representantes legales, administradores y todos aquellos que resulten responsable en su carácter de autor, cómplice, partícipe, encubridor o instigador, por la copia ilegal y sustracción de datos personales de aproximadamente 135 mil usuarios".
Ambos habían firmado un acuerdo, según el cual Cespi proveería la licencia de uso del software para el sistema, el soporte técnico y la capacitación de los instructores de Movypark, entre otros aspectos.
Movypark señaló que convinieron que "toda la información" (datos, metodología, know how, tecnologías, procedimientos y técnicas o equipos de trabajo) "sería confidencial", quedando así "vedada su difusión sin previo acuerdo entre ellas", según la denuncia a la que accedió La Voz.
Tras recibir la concesión del servicio, en noviembre de 2017, Movypark contrató a Cespi la provisión del software de back office para el sistema de estacionamiento. Según Movypark, el servicio incluía, asimismo, el mantenimiento, el soporte técnico y el desarrollo de nuevas funcionalidades.
La exprestataria señaló que el back office se instaló en un servidor propio albergado en el centro de datos de la compañía de telefonía Claro (AMX SA). Los técnicos del Cespi tenían acceso a ese servidor exclusivamente para asegurar las funciones acordadas. "El servicio contratado con Cespi debía ser prestado en ese servidor, y este no podía extraer ni manipular datos del sistema fuera de él", según Movypark.
"Movimiento anómalo"
En el servidor se encontraba la base de datos de todos los usuarios del sistema de estacionamiento medido. Contenía los datos personales de los usuarios (números de teléfono, la patente de los vehículos estacionados, saldos y transacciones), por lo que MovyPark era la responsable.
Pero el 5 de febrero de este año la empresa señaló que “se registró un movimiento anómalo en el servidor”. Si bien, de acuerdo con Movypark, “era usual” que desde el Cespi se conectaran al servidor para cumplir con las tareas previstas en el contrato (bajo el usuario “desarrollo” o “administrador”), ese día, a las 22.12, se detectó un acceso con el usuario “desarrollo”.
Siempre según la denuncia, ese usuario realizó una copia de dos archivos que contenían los datos personales (teléfonos, patentes, saldos y transacciones) de unos 135 mil usuarios del sistema de estacionamiento.
La copia se habría realizado hacia un servidor con una dirección de IP que pertenecería a la UNLP. Una auditoría informática contratada por Movypark determinó que "la copia de los archivos (…) no era algo que el usuario 'desarrollo' hiciera usualmente".
Por otro lado, un ingeniero especialista en Informática Forense, a pedido de la empresa, analizó los registros para determinar la magnitud de eventuales accesos no autorizados al sistema de pago “con el posible fin de exponer la información almacenada”.
De este modo, se buscaron identificar “operaciones sospechosas”, ya sea “a partir de un número de móvil de interés así como también aquellas transacciones que no llegaron a completarse y que pudieron haber permitido el acceso parcial a la base de datos”. El resultado es que se podría “haber accedido a 853 transacciones”.
"Es decir –afirmó Movypark–, el especialista, mediante un análisis efectuado sobre una base de datos de más de medio millón de transacciones, registradas automáticamente durante la normal operación del sistema, determinó que solo se identificaron 853 transacciones que podrían haber sido accedidas, revelando la información de esos únicos 853 registros de la base de datos, lo que representa un 0,16 por ciento de los registros totales almacenados en la base de datos".
Esas eventuales 853 transacciones que podrían haber quedado expuestas habrían sido posteriores a la filtración que La Voz ya había informado meses antes, en 2019.
La exprestataria insistió en que Cespi tenía “prohibido ceder a otras personas o conservar para sí los datos referidos”, y planteó que ambos “acordaron la prohibición de utilizar la información para un fin distinto del convenio marco, como así tampoco cederlos, modificarlos, y/o copiarlos”.
“La conducta realizada ha sido llevada a cabo en detrimento de la confidencialidad y la seguridad del sistema referido. Mediante esta conducta ilegítima se proporcionó y/o reveló la información allí registrada, cuyo secreto era debido no solo por disposiciones legales, sino también por el marco contractual entre las partes”, agregó.
“La narración precedente devela una de las premisas de la acción instrumentada en este escrito. Esto es, el móvil de la conducta referida (…) habría consistido (…) en la intención del Cespi de reemplazar a Movypay (…) en la concesión del sistema de estacionamiento medido”, denunció Movypark.
La empresa indicó que, luego de la copia de archivos que denunció, Cespi le comunicó su decisión de rescindir el contrato por supuestos retrasos en los pagos, lo que luego decantó en un plan de pagos aceptado por Cespi.
No obstante, Movypark le endilgó haber dejado de prestar el servicio el 6 de marzo. "Esta situación generó para Movypay (…) una situación muy delicada con la Municipalidad de Córdoba, dada la consiguiente interrupción del servicio de estacionamiento medido durante alrededor de 48 horas", dijo.
"El incumplimiento contractual no fue remediado por el Cespi. Solo se subsanó mediante la puesta en operación de software propio de Movypay el 8 de marzo", agregó y lo acusó de presuntamente copiar los archivos con los datos de los usuarios para, luego, quedarse con la concesión del servicio en su lugar.
“Téngase en cuenta que Cespi, por intermedio de su director, ingeniero Juan Marra, ha declarado, a partir del 6 de marzo, a través de distintos medios de nuestra ciudad, su intención de devenir en la concesionaria del servicio (…) con antelación a la decisión de la Municipalidad acerca del contrato. Ello hace suponer –señaló Movypark– que el hecho ilegítimo, cuyo esclarecimiento aquí se presume (la presunta copia de archivos), ha sido con la referida intención”.
