El escándalo de Bizum no es la filtración de más de 20.000 teléfonos. Es que decidieron no decirlo

Bizum se ha convertido en una herramienta tan cotidiana como WhatsApp para millones de personas en España, pero su facilidad de uso también ha traído ciertas responsabilidades legales, como las que rodean a los pagos por error. Ahora, la plataforma se enfrenta a una crisis de seguridad: la Agencia Española de Protección de Datos (AEPD) le ha impuesto una multa de 80.000 euros por una brecha de seguridad que expuso los datos de más de 20.000 usuarios.

No fue un hackeo. La vulnerabilidad era sorprendentemente simple y fue notificada por primera vez en 2020. Cuando un usuario inicia un envío de dinero, Bizum muestra las iniciales, apellidos y el número del móvil del destinatario para confirmar la operación. Pues bien, un atacante descubrió que podía automatizar este proceso mediante un script.

En Xataka Móvil

A partir de qué cantidad hay que declarar a Hacienda las transferencias de Bizum (y a cuánto asciende la multa si no lo haces)

Este, hacía peticiones masivas de envío de dinero, capturaba los datos personales que mostraba la plataforma y cancelaba la operación antes de completarla. A pesar del límite de 30 intentos de Bizum, un ciberdelincuente logró explotar el fallo durante dos horas a través de la web de un banco asociado. Así consiguió los datos de 20.070 usuarios.

Multa de la AEPD. La resolución de la AEPD, de la que se hacen eco medios como La Razón, critica duramente la gestión de Bizum. La compañía no tuvo constancia real de la filtración hasta 2022, cuando los datos ya circulaban por la red. Además, tomó la decisión de no notificar a los miles de afectados al considerar la vulnerabilidad de riesgo bajo. Legalmente, no devolver un Bizum que te llega por error puede acarrear una multa considerable, pero en este caso ha sido la propia plataforma la sancionada por no proteger los datos.

Más seguridad. Como parte de la resolución, Bizum ha tenido que contratar a una empresa especializada para eliminar las réplicas del contenido filtrado y deberá acreditar ante la AEPD la implementación de nuevas medidas técnicas para restringir el acceso indebido a datos privados.

Si crees que puedes ser uno de los afectados —aunque el riesgo actual es bajo— es recomendable que extremes la precaución ante posibles SMS o llamadas fraudulentas que intenten suplantar la identidad de tu banco o de la propia Bizum.

Imagen de portada | Pepu Ricca para Xataka Móvil

En Xataka Móvil | Le hice un Bizum a un desconocido por error. Su buena voluntad ha evitado una gran multa