La plataforma Mutua Más, integrada en el ecosistema digital de Mutua Madrileña, ha comunicado a sus usuarios un incidente de ciberseguridad que ha afectado a datos personales vinculados a ElParking, la app de movilidad del grupo.
La compañía detectó el acceso no autorizado el pasado 14 de junio y, desde entonces, ha activado el protocolo habitual en este tipo de casos: contención del incidente, comunicación a las autoridades y análisis técnico para determinar el alcance real de la brecha. No es la primera vez que la empresa sufre un incidente de este tipo. Tal y como contamos, en 2024 sufrió uno de los peores de su historia.
El episodio afecta a una de las patas más visibles de la estrategia digital de Mutua en movilidad. No hay que olvidar que Mutua Más funciona como una superapp con servicios como aparcamiento, parquímetro, ITV o reservas, mientras que ElParking se ha consolidado como una de las aplicaciones de referencia para conductores en España, con millones de usuarios y una fuerte implantación en servicios urbanos.
Qué datos de los clientes habrían quedado expuestos
Según la información trasladada por la compañía a los usuarios, el acceso no autorizado habría comprometido varios datos personales facilitados a ElParking. Entre ellos figuran el correo electrónico, el número de teléfono, la matrícula del vehículo y el DNI. Se trata de información sensible desde el punto de vista de la privacidad, no tanto por su uso aislado, sino por el valor que puede tener si se combina en campañas de fraude, suplantación de identidad o intentos de phishing muy personalizados.
La parte más tranquilizadora para los clientes es que, por ahora, Mutua asegura que no se han visto afectados ni las contraseñas de acceso a la aplicación ni los datos relacionados con los métodos de pago. Es un matiz importante, porque reduce el riesgo de accesos directos a cuentas o de uso fraudulento de tarjetas desde la propia plataforma. Aun así, la exposición de datos identificativos obliga a extremar la precaución durante los próximos días y semanas.
Cómo reaccionó la compañía tras detectar el incidente
Mutua Más sostiene que sus sistemas de seguridad permitieron detectar el acceso y bloquearlo de forma inmediata. A partir de ahí, el caso se ha puesto en conocimiento de la Agencia Española de Protección de Datos y también de las autoridades policiales, que ya han asumido la investigación.
Además, la empresa ha activado una auditoría forense para reconstruir qué ocurrió exactamente, durante cuánto tiempo estuvo activo el acceso no autorizado y qué volumen de usuarios podría haberse visto afectado.
Ese análisis será clave para saber si la brecha se limitó a una extracción puntual de información o si hubo un acceso más amplio a la infraestructura relacionada con ElParking y Mutua Más.
En este tipo de incidentes, la primera comunicación suele centrarse en los datos ya confirmados, pero la foto definitiva no se cierra hasta que concluyen las pesquisas técnicas.
ElParking, una pieza clave en la estrategia de movilidad de Mutua
El caso tiene especial relevancia porque afecta a un servicio muy extendido. ElParking no es una app secundaria dentro del grupo, sino una plataforma con un peso creciente en la movilidad urbana: pago de estacionamiento regulado, reservas de parking, ITV, telepeajes o gestión de otros servicios vinculados al coche.
De hecho, Mutua ha ido reforzando esa apuesta en los últimos años, integrando parte de estas funcionalidades dentro de Mutua Más para convertir la app en un punto único de acceso a servicios para mutualistas y conductores.
Precisamente por eso, cualquier incidente de seguridad en este entorno tiene un impacto que va más allá del dato filtrado. También pone a prueba la confianza del usuario en aplicaciones que concentran información personal, hábitos de movilidad y datos de identificación ligados al vehículo.
Qué deberían hacer ahora los usuarios afectados
Aunque el servicio sigue funcionando con normalidad, la recomendación principal es desconfiar de correos, SMS o llamadas que aparenten proceder de Mutua, Mutua Más o ElParking y pidan verificar datos, pulsar en enlaces o facilitar credenciales.
Cuando una filtración incluye correo, teléfono, matrícula o DNI, los intentos de engaño pueden ser mucho más creíbles, porque el atacante dispone de información real para construir mensajes convincentes.
También conviene revisar si la dirección de correo utilizada en la app recibe comunicaciones sospechosas en los próximos días, no reutilizar contraseñas si se usaban en otros servicios y comprobar desde la aplicación oficial que no haya cambios extraños en los datos de la cuenta.
La investigación dirá si el alcance final de la brecha es mayor o menor, pero el aviso ya deja claro que Mutua Más y ElParking afrontan una incidencia delicada en uno de los terrenos más sensibles para cualquier compañía: la protección de los datos de sus clientes.
