Filtración en Ryde: 4,5 millones de cuentas en Noruega, Suecia, Finlandia y Alemania
Foto: Estormiz / Wikimedia Commons / CC0 1.0
La filtración de datos de Ryde alcanzó a todos y cada uno de los clientes del servicio de alquiler de patinetes. Unos 4,5 millones de cuentas en Noruega, Suecia, Finlandia y Alemania se copiaron de sus sistemas durante la noche del sábado al domingo 2 de agosto de 2026, de las cuales cerca de 1,6 millones solo en Noruega. Ryde no discute la magnitud: en sus propias palabras, esto afecta a cualquiera que tenga una cuenta.
Qué dice Ryde que ocurrió
Según el comunicado de la empresa, terceros no autorizados llegaron a sus sistemas la noche del 1 al 2 de agosto y copiaron datos de clientes antes de que se cerrara el acceso. Ryde afirma que desde entonces ha cerrado los puntos de entrada identificados, reconstruido los sistemas afectados y sustituido contraseñas y claves criptográficas. Notificó la filtración a Datatilsynet, la autoridad noruega de protección de datos, y a la policía.
El director ejecutivo Tobias Balchen dijo a NRK que personas no autorizadas obtuvieron acceso y copiaron determinada información de clientes, y que afecta a todo el que tenga cuenta. También señaló que la empresa no tiene indicios de quién está detrás y que no ha recibido ninguna exigencia de pago ni amenazas. Este último punto conviene retenerlo, porque tranquiliza menos de lo que parece: un conjunto de datos personales robado sin rescate de por medio tiene más probabilidades de acabar vendido o simplemente publicado.
Qué se llevaron y qué no
Los campos robados son números de teléfono, direcciones de correo, fechas de nacimiento, los seis primeros y los cuatro últimos dígitos de las tarjetas de pago, el historial de pagos con trayectos, compras y comisiones, y el lugar donde se creó la cuenta. En parte de los clientes se sumaron un nombre y una dirección sin verificar.
Dos cosas no salieron, y ambas importan. Los números completos de tarjeta los guarda el proveedor de pagos y no Ryde, así que no hace falta bloquear ninguna tarjeta. Y el historial de trayectos no está afectado: la empresa afirma que no hay indicios de que se hayan visto comprometidos los datos sobre dónde ha circulado usted. Si leyó un resumen diciendo que sus rutas se filtraron, ese resumen estaba equivocado. Lo que se filtró es el rastro del dinero, no el mapa de sus desplazamientos.
Por qué importan los seis primeros dígitos
Los seis primeros dígitos de una tarjeta son el identificador del emisor. No son secretos, pero señalan qué banco emitió la tarjeta. Junto a los cuatro últimos, que es exactamente lo que un banco imprime en un extracto, permiten escribirle nombrando su banco y el final visible de su propia tarjeta.
Añada una fecha de nacimiento, un número de teléfono y un historial de pagos que muestre cuánto gastó realmente y cuándo, y el mensaje deja de parecer spam. Por eso una filtración en una aplicación de patinetes se convierte en un problema bancario: el atacante no necesita los sistemas de su banco, solo suficientes detalles para sonar como él.
El problema de BankID y las claves bancarias
El consejo de la propia Ryde es el correcto y merece repetirse entero: no entregue nunca contraseñas, claves bancarias ni credenciales de BankID a quien le contacte por iniciativa ajena, por creíble que parezca. En Noruega y Suecia, BankID no es solo un inicio de sesión, es una firma jurídicamente vinculante. Quien le guíe por una confirmación de BankID puede mover dinero y firmar acuerdos en su nombre. En Finlandia ese papel lo cumplen las credenciales de banca en línea de la Finnish Trust Network, y en Alemania la confirmación TAN en la aplicación del banco.
Los teléfonos filtrados meten también en el terreno a las aplicaciones de pago vinculadas al número. Vipps en Noruega, Swish en Suecia y MobilePay en Finlandia funcionan justamente con el número de móvil, el único identificador que esta filtración entregó de cada cliente. Una solicitud de pago que llega a una de esas aplicaciones no trae cabeceras de correo que inspeccionar ni enlace sobre el que pasar el ratón, y aterriza donde la gente está acostumbrada a aprobar deprisa.
El patrón esperable es una llamada o un mensaje que empieza con datos que solo su banco debería conocer, crea urgencia en torno a un pago sospechoso y termina pidiéndole que confirme algo. Ningún banco, ninguna policía y ninguna empresa necesita jamás que usted dicte un código o apruebe una confirmación de identidad que no ha iniciado. Si una llamada va por ahí, la respuesta correcta es colgar y llamar al número impreso en su propia tarjeta.
Qué hacer en Noruega, Suecia, Finlandia y Alemania
- No bloquee la tarjeta: los números completos no se expusieron. Bloquear genera molestias sin reducir el riesgo real, que es la ingeniería social.
- Trate cualquier contacto sobre esta filtración como hostil hasta que se demuestre lo contrario: los atacantes leen las mismas noticias que usted, y la primera oleada de phishing tras una filtración pública suele ir con el nombre de la empresa afectada.
- Revise los importes pequeños, no los grandes: los cargos de prueba son deliberadamente insignificantes, y el historial de pagos de esta filtración le dice a un atacante qué cifra resulta normal en su caso.
- Cambie la contraseña si la reutilizaba: Ryde dice haber sustituido las contraseñas de su lado, pero si esa misma abre su correo, es esa cuenta la que hay que arreglar hoy.
- Sepa dónde reclamar: Ryde es noruega, así que Datatilsynet actúa como autoridad principal en todo el caso. Los residentes en Suecia pueden acudir a la IMY, los de Finlandia a la oficina del Defensor de Protección de Datos y los de Alemania a la autoridad de su estado federado; por las reglas de ventanilla única, cada una traslada el caso a la autoridad principal.
- Vigile el teléfono, no solo el buzón: los números se filtraron junto con lo demás, lo que pone en juego SMS, llamadas y solicitudes de pago en Vipps, Swish o MobilePay, y ninguna de ellas pasa por un filtro de correo.
Por qué importa más allá de quien usa patinetes
Una aplicación de patinetes es una menudencia en la que uno se registra de pasada, y acabó guardando una fecha de nacimiento, un teléfono, un identificador bancario y un registro de gastos. Ese es el coste real de la cómoda capa del "entra con tu número de teléfono" sobre la que se apoyan casi todos los servicios de movilidad urbana, y es la misma aritmética que hay detrás de las credenciales que aparecieron en la base abierta con 24 mil millones de contraseñas filtradas y detrás de la brecha de una base jurídica de la policía británica. Sobre los límites honestos: una VPN no habría evitado nada de esto, porque los datos se tomaron de los servidores de la empresa y no de su conexión. Donde sí ayudan las herramientas de privacidad de red es en la etapa siguiente, ya que el filtrado DNS y las listas de bloqueo impiden que cargue buena parte de las páginas de phishing, y dar menos datos reales a un servicio reduce lo que podrá llevarse una filtración futura.
