Ataque informático a la plataforma de pico y placa solidario de Bogotá: qué pasó y cómo protegerse
La Secretaría Distrital de Movilidad de Bogotá confirmó que la plataforma de pico y placa solidario, el sistema en el que los conductores de la ciudad compran el permiso para circular durante los días de restricción vehicular, fue objeto de un ataque de seguridad informática. La entidad aseguró que el incidente ya fue contenido, que sus equipos técnicos analizan el alcance de lo ocurrido y que, por ahora, las afectaciones identificadas se limitan a esa plataforma.
El comunicado oficial se publicó el martes 3 de noviembre de 2026, después de que los equipos técnicos de la entidad identificaran el incidente y activaran los protocolos de seguridad establecidos para este tipo de situaciones. Aunque el trámite sigue habilitado, la Secretaría emitió una serie de recomendaciones para que los ciudadanos no expongan su información personal ni su dinero mientras se completan las investigaciones.
El aviso llega en un momento especialmente delicado para los conductores bogotanos, porque el pico y placa solidario es un trámite de uso frecuente que implica pagos en línea y el suministro de datos personales y de los vehículos. Cualquier incidente de seguridad en esa plataforma abre la puerta a un riesgo adicional: el aprovechamiento por parte de delincuentes que crean páginas falsas o envían enlaces fraudulentos haciéndose pasar por la entidad.
¿Qué se sabe hasta ahora del ataque informático?
De acuerdo con el comunicado de la Secretaría Distrital de Movilidad, la plataforma de pico y placa solidario fue objeto de un ataque de seguridad informática que ya fue contenido. La entidad activó los protocolos de seguridad y, según su reporte inicial, identificó afectaciones únicamente en esa plataforma, sin que se hayan señalado impactos en otros sistemas de la Secretaría.
El resultado de esa investigación será clave para entender qué tipo de ataque enfrentó la plataforma y si los datos de los usuarios corrieron algún riesgo. Mientras tanto, el trámite continúa abierto y las recomendaciones de seguridad se mantienen vigentes para todos los conductores de la ciudad.
Los equipos técnicos de la entidad continúan adelantando las acciones necesarias para establecer el alcance del incidente y adoptar las medidas que permitan reforzar la seguridad de la información. La Secretaría indicó que, si durante el análisis se identifican situaciones que requieran la adopción de medidas adicionales o la comunicación de nuevos avances, esa información será divulgada oportunamente a través de los canales oficiales.
Hasta el momento, la entidad no ha informado la fecha ni la hora exacta en que ocurrió el ataque, no ha confirmado si hubo datos personales comprometidos y tampoco ha precisado cuántos usuarios podrían estar involucrados. Como lo señaló el medio Más Colombia en su análisis del caso, el hecho de que la situación haya sido contenida no permite concluir que no haya salido información de la plataforma: hasta que se conozca el resultado del análisis técnico, no es posible afirmar ni descartar una filtración de datos.
Los incidentes de seguridad contra plataformas de entidades públicas no son un fenómeno nuevo en Colombia. Los especialistas en ciberseguridad han advertido en los últimos años que la digitalización acelerada de los trámites estatales aumenta la superficie de ataque disponible para los delincuentes, mientras que los presupuestos y los equipos de seguridad de muchas entidades no crecen al mismo ritmo. Cada nuevo incidente refuerza ese llamado: los sistemas que concentran pagos y datos personales requieren monitoreo permanente, pruebas de intrusión periódicas y protocolos de respuesta que se activen en minutos, no en días.
Esta prudencia es importante. En incidentes de seguridad informática, las primeras horas suelen estar dedicadas a contener el problema y a recuperar la operación normal, mientras que la determinación del alcance, incluida la posible afectación de datos personales, puede tomar días o semanas de trabajo técnico y forense.
¿Qué es el pico y placa solidario y por qué es tan usado en Bogotá?
El pico y placa es la medida de restricción vehicular que rige en Bogotá para reducir la congestión en las principales vías de la ciudad. Según el día y la terminación de la placa, los vehículos particulares no pueden circular en determinadas franjas horarias. Para quienes necesitan usar su carro precisamente en un día de restricción, existe el pico y placa solidario: un permiso de pago que exime al vehículo de la medida durante el periodo adquirido.
El trámite se realiza en línea, a través de la plataforma oficial habilitada dentro del portal de la Secretaría de Movilidad. Allí el conductor registra los datos de su vehículo, suministra información personal y paga el permiso, que puede adquirirse por día, por mes o por semestre, según las necesidades de cada usuario. El pago se realiza únicamente dentro de la plataforma oficial, un punto que la propia entidad ha insistido en recordar en sus alertas anteriores.
Durante noviembre de 2026, la restricción para vehículos particulares en Bogotá opera de lunes a viernes, entre las 6:00 de la mañana y las 9:00 de la noche, según la programación oficial publicada por el Distrito y el esquema vigente del Decreto Distrital 652 de 2025. La rotación divide las placas según el día del calendario: los días impares pueden circular los vehículos con placas terminadas en 1, 2, 3, 4 y 5, y los días pares los terminados en 6, 7, 8, 9 y 0. La medida no aplica los sábados ni los domingos, y en los lunes festivos de los puentes rige el pico y placa regional, un esquema distinto que organiza el ingreso de vehículos a la ciudad durante los retornos.
Quien incumple la restricción sin un permiso válido se expone a comparendos y sanciones económicas, además de la posible inmovilización del vehículo. Esa presión cotidiana es la que hace tan atractivo el permiso solidario y, al mismo tiempo, tan rentable el negocio de los sitios falsos que prometen venderlo por fuera de la plataforma oficial.
El pico y placa solidario es, entonces, una exención de pago dentro de un sistema de restricción que afecta a cientos de miles de vehículos cada día hábil. Su plataforma concentra tres activos valiosos para cualquier delincuente: nombres y documentos de identidad, datos de los vehículos y, sobre todo, información de medios de pago. Por eso un incidente de seguridad en ese sistema no es un asunto menor y por eso las autoridades insisten en reforzar sus controles.
Precisamente por eso, porque concentra pagos y datos sensibles de miles de conductores, la plataforma es un objetivo atractivo para los delincuentes. Un ataque directo al sistema es una vía de riesgo, pero no la única: los delincuentes también aprovechan este tipo de noticias para lanzar campañas de suplantación, con páginas falsas que imitan el portal oficial y enlaces que circulan por mensajes de texto, redes sociales y aplicaciones de mensajería.
La restricción vehicular hace parte de la vida cotidiana de Bogotá y el permiso solidario se ha convertido en una herramienta habitual para quienes tienen compromisos laborales, médicos o familiares que no pueden aplazar. Esa frecuencia de uso explica que cualquier incidente en la plataforma tenga un impacto potencialmente amplio y que las recomendaciones de seguridad deban llegar a la mayor cantidad de usuarios posible.
¿Se puede seguir haciendo el trámite del pico y placa solidario?
Sí. La Secretaría de Movilidad confirmó que la ciudadanía puede continuar realizando el trámite de pico y placa solidario con normalidad. Sin embargo, acompañó esa confirmación de varias advertencias concretas que los usuarios deben aplicar antes de entregar información personal o realizar cualquier pago.
También conviene recordar que la verificación toma apenas unos segundos. Mirar la barra de direcciones, confirmar que el dominio termina en .gov.co y desconfiar de cualquier atajo son gestos que se han vuelto tan necesarios como revisar los espejos antes de arrancar. En un escenario en el que los delincuentes actualizan sus métodos con cada noticia, la primera línea de defensa sigue siendo la atención del propio usuario.
La primera recomendación es revisar la dirección electrónica. Si durante el trámite el usuario es redireccionado a una página que no termine en .gov.co, debe suspender el proceso de inmediato y abstenerse de realizar cualquier pago. Los dominios oficiales del Estado colombiano terminan en .gov.co, de modo que cualquier variante con otra terminación debe considerarse sospechosa.
La segunda recomendación es verificar la correcta escritura de la dirección: comprobar que no tenga errores ortográficos ni caracteres especiales que puedan generar confusión. Los portales falsos suelen usar dominios casi idénticos al oficial, con una letra cambiada, un guion adicional o una terminación diferente, una técnica conocida como typosquatting que busca atrapar a quien no revisa con atención la barra de direcciones.
La tercera recomendación es evitar los enlaces que lleguen por mensajes de texto, redes sociales o aplicaciones de mensajería cuando no hayan sido publicados por los canales oficiales de la entidad. Antes de hacer clic en cualquier enlace relacionado con el trámite, el usuario debe comprobar que corresponde a un canal oficial. La dirección indicada por la Secretaría para estos trámites es www.movilidadbogota.gov.co.
¿Por qué los portales falsos son el otro gran riesgo?
El ataque a la plataforma oficial no es la única amenaza que enfrentan los conductores. Semanas antes de este incidente, la propia Secretaría de Movilidad había emitido una alerta sobre portales falsos que ofrecían el pico y placa solidario y que fueron denunciados ante las autoridades. En esa alerta del 7 de octubre, difundida en el portal de la Alcaldía, la entidad recordó que el pago del permiso se hace únicamente dentro de la plataforma oficial y que no se cobra por WhatsApp, llamadas, mensajes de texto, códigos QR, billeteras digitales ni cuentas de terceros.
Las consecuencias de caer en uno de estos portales van más allá de la pérdida del dinero. Un permiso comprado en una página falsa no sirve para circular: el conductor se queda sin el dinero y, además, su vehículo sigue sin un permiso válido, por lo que queda expuesto a las sanciones de tránsito previstas para quien incumple la restricción. En otras palabras, el engaño puede terminar costando dos veces.
Este esquema de fraude no es exclusivo de Bogotá ni del pico y placa. Las autoridades han registrado suplantaciones de entidades públicas y de servicios de pago en varias ciudades del país, con páginas clonadas que replican la imagen de la institución y pasarelas de pago falsas que capturan los datos de las tarjetas. El momento en que una entidad confirma un incidente de seguridad es, paradójicamente, uno de los más aprovechados por los delincuentes, porque los usuarios buscan información con urgencia y bajan la guardia.
Por eso las recomendaciones de la Secretaría apuntan a un principio simple: desconfiar de cualquier canal que no sea el oficial. Si el trámite no se está haciendo dentro del dominio de la entidad, si el enlace llegó por un mensaje no solicitado o si el pago se pide por un medio distinto a la plataforma, la conducta segura es detenerse y verificar antes de continuar.
Este es el video oficial con el que la Secretaría de Movilidad de Bogotá explica, desde antes del incidente, cómo registrar un vehículo en el pico y placa solidario. El registro y el pago se hacen únicamente dentro de la plataforma oficial de la entidad.
¿Qué obligaciones legales tiene la entidad frente a los datos personales?
En Colombia, la Ley 1581 de 2012 establece el régimen general de protección de datos personales. Su artículo 17 obliga a los responsables del tratamiento a informar a la Superintendencia de Industria y Comercio, la autoridad nacional de protección de datos, cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.
En su página oficial sobre el cumplimiento de la obligación del reporte de incidentes de seguridad, la Superintendencia de Industria y Comercio explica que esos incidentes deben reportarse dentro de los quince días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos, a través del Registro Nacional de Bases de Datos o del módulo de reporte de incidentes de su Delegatura para la Protección de Datos Personales, según el caso del responsable. El análisis publicado por Más Colombia señala que el comunicado de la Secretaría no indica si el incidente ya fue reportado a la Superintendencia o al ColCERT, el equipo de respuesta a incidentes cibernéticos del Gobierno nacional, ni si se presentó una denuncia ante la Fiscalía.
Es importante precisar el alcance de esa obligación. De acuerdo con la misma página de la Superintendencia, se consideran incidentes de seguridad los eventos que tengan como fin la violación de los códigos de seguridad, la adulteración, la pérdida, la consulta, el uso o el acceso no autorizado o fraudulento de los datos personales administrados por el responsable del tratamiento. La existencia de esa obligación de reporte no prueba, por sí sola, que el ataque haya comprometido datos personales. Hasta que la Secretaría conozca y divulgue el resultado de su análisis técnico, lo que existe es un incidente contenido cuyo alcance está por definirse.
El caso vuelve a poner sobre la mesa la discusión sobre la seguridad de las plataformas públicas de trámites en Colombia, que concentran cada vez más pagos y datos personales de los ciudadanos. Las entidades distritales y nacionales han sido objeto de incidentes de seguridad en los últimos años, y los especialistas insisten en que la inversión en ciberseguridad debe crecer al mismo ritmo que la digitalización de los servicios.
¿Cómo protegerse de las estafas en línea, según las autoridades?
El Centro Cibernético Policial de la Policía Nacional mantiene un observatorio de cibercrimen desde el que ha identificado las vulnerabilidades más comunes que comprometen la información de los ciudadanos en las plataformas digitales. Sus recomendaciones generales para operaciones en línea aplican directamente a un trámite como el pico y placa solidario, que combina datos personales y pagos electrónicos.
La primera es realizar las operaciones únicamente a través de canales oficiales o portales reconocidos y evitar los enlaces que llegan por correos electrónicos o mensajes. En el caso del pico y placa solidario, esto significa escribir directamente la dirección de la Secretaría de Movilidad en el navegador y no seguir enlaces recibidos por ningún otro medio.
La segunda es realizar los pagos a través de los medios electrónicos de la banca en línea y de plataformas con altos niveles de seguridad, evitando giros o pagos por adelantado. La tercera es ser precavido con los equipos desde los que se hacen las transacciones: la Policía recomienda evitar las redes wifi públicas, porque constituyen un vector de ataque importante que facilita a los ciberdelincuentes el acceso a la información personal durante las operaciones económicas.
La Policía también recomienda no guardar los métodos de pago en los navegadores ni en los sitios de comercio electrónico. Aunque resulte incómodo digitar los datos de la tarjeta en cada operación, es más seguro que dejarlos almacenados. Ante cualquier amenaza o mensaje dudoso, los canales de comunicación de la Policía Nacional, incluido el CAI Virtual, atienden las 24 horas, todos los días de la semana.
Estas recomendaciones, sumadas a las de la Secretaría de Movilidad, componen una guía práctica para los conductores bogotanos: verificar el dominio .gov.co, revisar la ortografía de la dirección, no usar enlaces recibidos por mensajería, pagar solo dentro de la plataforma oficial, evitar redes wifi públicas para transacciones y reportar cualquier comunicación sospechosa. Son hábitos sencillos que bloquean la mayoría de los intentos de fraude documentados por las autoridades.
¿Qué debe hacer quien ya pagó un permiso o entregó sus datos?
El comunicado de la Secretaría no se refiere de forma expresa a los permisos ya expedidos: no anunció suspensiones ni anulaciones, pero tampoco se pronunció sobre su estado. La entidad tampoco pidió a los usuarios repetir el trámite. El comunicado tampoco ordenó cambios de contraseña ni dio instrucciones específicas para quienes pagaron o entregaron datos en los días previos al aviso, de modo que la conducta recomendada es mantenerse atento a los canales oficiales de la entidad.
Si un usuario identifica movimientos sospechosos en sus cuentas o recibe mensajes que parecen provenir de la Secretaría pero llegan por canales no oficiales, lo prudente es no responderlos, no hacer clic en sus enlaces y reportarlos ante las autoridades. En Colombia, el Centro Cibernético Policial de la Policía Nacional atiende las denuncias por delitos informáticos, y la Fiscalía cuenta con un grupo especializado en el tema.
Para los próximos días, la recomendación práctica es clara: hacer el trámite únicamente desde la dirección oficial, escribir la dirección directamente en el navegador en lugar de seguir enlaces, verificar que la página termine en .gov.co, revisar la ortografía del dominio y desconfiar de cualquier solicitud de pago por fuera de la plataforma. Estas precauciones aplican con independencia del resultado final de la investigación.
La Secretaría se comprometió a actuar con transparencia durante el análisis y a divulgar oportunamente cualquier avance. Los conductores que usen el pico y placa solidario en los próximos días deben hacerlo con la tranquilidad de que el trámite sigue habilitado, pero con la atención adicional que amerita cualquier incidente de seguridad informática en una plataforma que maneja pagos y datos personales.
Referencias
Congreso de la República de Colombia. (17 de octubre de 2012). Ley 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales. Diario Oficial No. 48.587. https://www.secretariasenado.gov.co/senado/basedoc/ley_1581_2012.html (Consultado el 4 de noviembre de 2026)
Malaver, C. (4 de noviembre de 2026). Alerta para conductores en Bogotá: plataforma de pico y placa solidario sufrió ataque informático y estas son las recomendaciones para evitar riesgos. El Tiempo. https://www.eltiempo.com/bogota/alerta-para-conductores-en-bogota-plataforma-de-pico-y-placa-solidario-sufrio-ataque-informatico-y-estas-son-las-recomendaciones-para-evitar-riesgos-3598301 (Consultado el 4 de noviembre de 2026)
Más Colombia. (3 de noviembre de 2026). Movilidad de Bogotá confirma un ataque informático al pico y placa solidario: los conductores pueden continuar haciendo el trámite. Más Colombia. https://mascolombia.com/pico-placa-solidario-ataque-informatico/ (Consultado el 4 de noviembre de 2026)
Policía Nacional de Colombia. (25 de junio de 2020). Sea precavido y evite las estafas online. https://www.policia.gov.co/noticia/sea-precavido-evite-las-estafas-online (Consultado el 4 de noviembre de 2026)
Superintendencia de Industria y Comercio. (20 de abril de 2021). Cumplimiento de la obligación del reporte de incidentes de seguridad. https://sedeelectronica.sic.gov.co/publicaciones/boletin-juridico/concepto/cumplimiento-de-la-obligacion-del-reporte-de-incidentes-de-seguridad (Consultado el 4 de noviembre de 2026)
Vega, L. M. (2 de noviembre de 2026). Así funciona el pico y placa en Bogotá en noviembre de 2026: restricciones, alternativas y sanciones. Caracol Radio. https://caracol.com.co/2026/11/02/asi-funciona-el-pico-y-placa-en-bogota-en-noviembre-de-2026-restricciones-alternativas-y-sanciones/ (Consultado el 4 de noviembre de 2026)
Secretaría Distrital de Movilidad de Bogotá. (3 de noviembre de 2026). Secretaría de Movilidad informa sobre incidente de seguridad informática en la plataforma de pico y placa solidario. https://www.movilidadbogota.gov.co/noticias/secretaria-de-movilidad-informa-sobre-incidente-de-seguridad-informatica-en-la-plataforma (Consultado el 4 de noviembre de 2026)
Secretaría de Movilidad de Bogotá. (s. f.). Así puedes registrar tu vehículo en el Pico y Placa Solidario [Video]. YouTube. https://www.youtube.com/watch?v=dCm6iqa2U0s (Consultado el 4 de noviembre de 2026)
Josegacel29. (s. f.). Trancón Autonorte [Fotografía]. Wikimedia Commons. https://commons.wikimedia.org/wiki/File:Trancon_Autonorte.jpg (Consultado el 4 de noviembre de 2026)
Restrepo Acosta, F. (s. f.). Avenida de Las Américas, Bogotá [Fotografía]. Wikimedia Commons. https://commons.wikimedia.org/wiki/File:Avenida_de_Las_Am%C3%A9ricas,_Bogot%C3%A1.JPG (Consultado el 4 de noviembre de 2026)
Restrepo Acosta, F. (s. f.). Avenida Caracas calle 76 Bogotá [Fotografía]. Wikimedia Commons. https://commons.wikimedia.org/wiki/File:Avenida_Caracas_calle_76_Bogot%C3%A1.JPG (Consultado el 4 de noviembre de 2026)
Restrepo Acosta, F. (s. f.). Taxis en Bogotá [Fotografía]. Wikimedia Commons. https://commons.wikimedia.org/wiki/File:Taxis_en_bogot%C3%A1.JPG (Consultado el 4 de noviembre de 2026)