​

En septiembre de 2026 recibimos, a través de nuestro Programa de Bug Bounty, un reporte clasificado como crítico que alegaba que la base de datos de producción de AcheiVaga estaba configurada sin control de acceso a nivel de fila (Row Level Security), lo que permitiría lectura y escritura sin restricciones por parte de cualquier visitante no autenticado.

Realizamos una verificación técnica completa, inspeccionando directamente la configuración de seguridad de la base de datos en producción. La alegación resultó ser parcialmente cierta: el control de acceso a nivel de fila estaba habilitado y configurado solo en algunas tablas del sistema. La lectura pública identificada por el investigador es el comportamiento esperado del producto, un directorio público de plazas de aparcamiento diseñado desde el inicio para poder consultarse sin iniciar sesión.

Tratamos el caso con todo el rigor de un incidente crítico hasta concluir el análisis, y aprovechamos la oportunidad para reforzar de forma preventiva nuestra postura de seguridad:

1. Implantamos una verificación automatizada y continua de la configuración de acceso a la base de datos.

2. Reforzamos la política de contraseñas de todas las cuentas del sistema, exigiendo contraseñas largas y complejas.

3. Ahora exigimos el cambio de contraseña cada 90 días.

4. Formalizamos nuestro proceso interno de respuesta a reportes de seguridad, con plazos definidos según la gravedad.

Estas medidas siguen directrices reconocidas internacionalmente de gestión de la seguridad de la información (ISO/IEC 27001, 27002 y 27005) y de gestión responsable de vulnerabilidades (ISO/IEC 29147 y 30111).

Agradecemos al investigador su reporte responsable y el cuidado con el que realizó las pruebas, sin ningún impacto en datos reales de usuarios.

Seguimos animando a la comunidad de seguridad a reportar posibles vulnerabilidades a través de nuestro Programa de Bug Bounty.