Una investigación que insumió casi dos años por parte de un Tribunal Arbitral concluyó que no tenía fundamento la denuncia pública que en mayo de 2022 hicieron Ancap y Ducsa (Distribuidora Uruguaya de Combustibles S.A.) contra una alarmante maniobra de sabotaje que podía ser activada de forma remota contra más 16 mil vehículos de la flota estatal, incluyendo a ambulancias y patrulleros.

El Tribunal Arbitral integrado por los expertos Martín Risso, Santiago Pereira Campos y Andrés Mariño concluyó el pasado lunes 14 de octubre que no se ha probado que en el software del Sistema de Control Vehicular Estatal (Sisconve) la empresa Mebilor SA hubiera introducido códigos maliciosos o fraudulentos con la intención de sabotear a Ducsa.

El laudo también reconoció que la licencia del Sisconve pertenece a Mebilor y obliga a Ducsa a pagar reclamos por unos US$ 1,5 millones, comentaron a El País fuentes de Ducsa. Consultados por El País, responsables de Mebilor se excusaron de hacer declaraciones aunque precisaron que la empresa decidió no continuar con acciones legales contra Ancap o Ducsa por este asunto.

En 2022 Ducsa decidió llamar a licitación para un nuevo software de control vehicular y otro para la instalación y desinstalación de dispositivos de mantenimiento de vehículos y estación de servicio.

La empresa Mebilor SA, que era la encargada de brindar a Ducsa un servicio integral de mantenimiento, asistencia técnica y capacitación respecto del software para la gestión de combustibles y flota Sisconve, anunció que no se presentaría a la licitación.

Ducsa le solicitó los códigos fuente del Sisconve, que fueron entregados el 27 de abril de 2022.

Al día siguiente, Ancap emitió un comunicado oficial bajo el título “Detectan intento de sabotaje al sistema de control de la flota del Estado”. La noticia fue replicada en todos los medios.

En el cuerpo de ese comunicado, Ancap detalló: “Técnicos de Ancap, Ducsa, Matriz y de una firma especializada detectaron líneas de código anómalas en el software que gestiona el expendio de combustible a vehículos oficiales y la información relacionada con ubicación y rendimiento de los mismos. La amenaza detectada iba a impedir el normal funcionamiento en una fecha futura, de ambulancias, patrulleros y otros vehículos destinados a servicios críticos.”

Se explicaba en la comunicación que Ancap y Ducsa habían desplegado un plan de contingencia para asegurar la normalidad del abastecimiento a los vehículos y la mínima distorsión posible en los sistemas de gestión satelital”.

También se anunciaba la transición hacia la implementación de un nuevo sistema de control vehicular y gestión de flota que estaría funcionando unos meses después.

Ante los hechos, Ducsa decidió suspender el contrato con Mebilor y el 9 de mayo de 2022 presentó ante la Justicia una denuncia penal con un pormenorizado detalle de los estragos que causarían los códigos maliciosos hallados.

“La maniobra es ajena a las reglas del negocio, no tiene explicación razonable y podría consistir en un sabotaje informático, que de no haberse detectado hubiera generado caos en el funcionamiento del sistema con múltiples daños y pérdidas económicas, pocos días después de concluido el vínculo contractual entre Mebilor y Ducsa”, aseguraron los denunciantes.

El 27 de julio de ese año, de forma unilateral, Ducsa rescindió el contrato con Mebilor y tomó el control del servicio hasta que la ganadora de la licitación iniciara sus actividades.

El contrato entre Ducsa y Mebilor establecía que ante un conflicto por disputas y reclamos recíprocos debía instalarse un Tribunal Arbitral. En enero de 2023 comenzó a intervenir dicho tribunal integrado por los tres especialistas antes mencionados. Un mes después, tras una pericia de Centro de Ensayo de Software de la Facultad de Ingeniería, se determinó que los códigos a los que aludía Ducsa estaban “desactivados” por lo que “no podían provocar las consecuencias denunciadas”. La fiscal Sabrina Flores decidió archivar la denuncia, pero el Tribunal Arbitral continuó con su trabajo, realizando una exhaustiva investigación que finalizó hace una semana.

Foto: Estefanía Leal/Archivo El País.

En base a más pericias, en su laudo el Tribunal Arbitral sostiene que “no se ha probado que los códigos cuestionados tuvieran intención maliciosa de sabotear a Ducsa” y señala que no es posible considerar con certeza que los códigos aludidos “sean fraudulentos, maliciosos o hayan sido incorporados de dañar, o se trate de bomba lógicas”.

Según Mebilor, los códigos son líneas de testing para prevenir contingencias que ya aparecían en otras versiones del software, lo que descarta la intencionalidad de Mebilor frente a la posibilidad de perder el negocio.

“Queda claro para el Tribunal que el sistema de contingencia es algo previsto para casos excepcionales y no brinda todas las prestaciones del software, pero es importante señalar que la consecuencia última no sería el no suministro de combustible y que no ocurriría, como se manifestó, que ambulancias y patrulleros no fueran abastecidos”, sostiene el laudo.

El Tribunal también señaló la contradicción de acusar a Mebilor de planificar un sabotaje con códigos que ella misma entregó a Ducsa al tiempo que puntualizó que el hecho de haber encontrado esos códigos desmiente que estuvieran ocultos, como indicó la denunciante.

El Tribunal consideró que la suspensión del contrato con Mebilor se ajustó a derecho ya que ante la presunción de un sabotaje era lo que correspondía. Pero entiende en la rescisión unilateral fue un exceso.

“El Tribunal entiende que Ducsa no cumplió con la obligación de actuar de buena fe. El problema planteado por los códigos en cuestión pudo ser resuelto por consultas mutuas, permitiendo que la otra parte solucionara los problemas detectados y garantizara el cumplimiento de las obligaciones a su cargo. Mebilor ofreció solucionar los problemas que pudiesen existir, garantizó la ejecución del contrato con normalidad e incluso ofreció garantías concretas que no fueron aceptadas por Ducsa, pero que hubiesen permitido finalizar el contrato con certezas en el cumplimiento y garantías para el caso de incumplimiento”, sostiene el laudo.