Un fallo de seguridad permitía saltarse la cola de los Bonos Consumo Archipiélago: el enlace circuló por WhatsApp y solo se ha corregido tras la denuncia de una empresa majorera

Todo empezó con un WhatsApp

La salida a la venta de los Bonos Consumo Archipiélago en Fuerteventura, prevista para las 12:00 horas de este martes 28 de abril, se ha saldado con un escenario muy distinto al que pintaba el Gobierno de Canarias. Mientras miles de majoreros aguardaban en una cola virtual que llegó a registrar más de 30.000 personas por delante, en grupos de WhatsApp de la isla circulaba ya un enlace que permitía saltársela íntegramente. Una empresa de Puerto del Rosario, alertada por uno de esos mensajes, decidió comprobarlo. Lo que encontró va mucho más allá de un simple atajo.

Seis fallos, no uno

Pasaban apenas diez minutos de las doce del mediodía. La cola virtual de la plataforma de los Bonos Consumo Archipiélago acumulaba ya decenas de miles de personas en Fuerteventura cuando, sobre las 12:10 horas, comenzó a circular por varios grupos de WhatsApp de la isla un enlace acompañado de un mensaje muy simple: con esa dirección, decían, te saltabas la cola.

A esa misma hora, en una empresa de Puerto del Rosario alguien recibió ese mensaje y, en lugar de usar el enlace, decidió hacer otra cosa: comprobar si era cierto. La empresa, GestSiete Soluciones Informáticas, lleva más de veinte años desarrollando software en Canarias y conocía de antemano problemas similares en otras aplicaciones de este genero. Su equipo técnico abrió la página oficial de los bonos, miró el código fuente público —el mismo que cualquier navegador descarga al cargar una web, sin necesidad de acceso privilegiado ni de contraseñas— y empezó a tirar del hilo. En cuestión de minutos, lo que iba a ser una comprobación rápida sobre el enlace que circulaba se había convertido en algo mucho más grande. No era solo ese fallo. Eran seis.

Avisos sin respuesta

La auditoría improvisada por GestSiete identifica un total de seis vulnerabilidades en la plataforma. Tres de ellas están calificadas como severidad crítica, dos como alta y una como media. Por responsabilidad informativa, esta redacción publica las direcciones implicadas con los caracteres finales ocultos, suficiente para que el lector entienda que el problema existe y está documentado, pero no para que la noticia funcione como manual para nuevas explotaciones.

El primer fallo, el más visible, es el que circulaba por WhatsApp. Se trata de una dirección oculta dentro del propio dominio oficial que, al ser visitada, el sistema interpretaba directamente como que el usuario ya había pasado la cola. Sin contraseña. Sin verificación. Sin nada. La dirección, dentro del dominio fuerteventura.bonoconsumoarchipielago.com, terminaba en una palabra que empezaba por «admin-« seguida de varios caracteres más. Quien tenía el enlace, entraba.

El segundo fallo crítico es lo que en el sector se conoce como una «puerta trasera» olvidada. Dentro del propio código de la web, accesible para cualquiera que lo inspeccione, había un código de atajo que también permitía saltarse la cola al añadirlo a la URL. El nombre de ese código —algo así como d●●●●●●●●— delata, según los auditores, al proveedor base de la plataforma, lo que apunta a que se trata de un atajo dejado por error tras la fase de pruebas y publicado por descuido en la versión real.

El tercer fallo, y el más grave en términos de diseño, es el que explica todo lo demás: la cola virtual que veían los usuarios no era una cola de verdad. Los auditores la describen, literalmente, como «un control puramente cosmético». La decisión de quién entraba y quién esperaba se ejecutaba dentro del propio navegador del usuario, no en los servidores del Gobierno de Canarias. Traducido al lenguaje del ciudadano: era como si la puerta del supermercado tuviera un cartel de «espere su turno» pero la cerradura no existiera y la puerta estuviera siempre abierta. Bastaba con saber empujarla.

A eso se suman dos fallos más calificados como graves: una herramienta de pruebas que el equipo de desarrollo se dejó publicada y que cualquiera podía usar desde el propio navegador con dos comandos sencillos, y la posibilidad de falsear con dos líneas la marca interna que la web usa para «recordar» si el usuario ya había pasado la cola. Y un sexto fallo, de gravedad media: una vez superada la cola —por la vía que fuera, legítima o no— el «pase» no caducaba nunca. Quien entró saltándose la cola esta mañana, podría volver a entrar mañana sin esperar. El informe lo resume así: «No se trata de vulnerabilidades aisladas, sino de un fallo de diseño sistémico»

Cola que no respeta el turno, formulario con errores y un horario cuestionado

Confirmado el alcance del problema, GestSiete intentó hacer lo que dicta el protocolo en estos casos: avisar a los responsables antes de que la cosa fuera a más. La empresa contactó tanto con la Consejería de Economía, Industria, Comercio y Autónomos del Gobierno de Canarias como con la propia compañía proveedora de la plataforma —una empresa cuyo nombre comercial empieza por «T… P…» y cuyo desarrollador técnico identifica el código del bypass por sus iniciales, «D…»—. A la hora de cerrar esta edición, ninguno de los dos había respondido.

Mientras tanto, en la isla, el enlace seguía corriendo de WhatsApp en WhatsApp. Y los bonos, agotándose. Ante la falta de respuesta institucional, esta redacción ha trasladado los hallazgos a altos cargos del Gobierno de Canarias por canales directos, en un intento de acelerar la corrección. Que creemos estos si han tomado cartas en el asunto dado qu dicho enlace dejo de estar operativo.

Lo que está en juego

Más allá del fallo de seguridad, los problemas vividos por la ciudadanía majorera han sido múltiples. Las quejas que durante toda la mañana han hecho de #BonoConsumo y #BonosArchipiélago trending topic regional en X se concentran en varios frentes.

Primero, la cola virtual no respetaba el turno. En sistemas bien diseñados, el usuario mantiene su posición aunque cierre brevemente el navegador o sufra un corte de conexión. En este caso, numerosos usuarios denuncian que al salir momentáneamente y volver, encontraban más de 3.000 personas por delante. La cola, en la práctica, no funcionó.

Segundo, el formulario fallaba al enviar sin explicar el motivo, mostrando solo un genérico «error en el formulario». La empresa proveedora ha atribuido parte de estos errores a una saturación del servidor, pero los usuarios no recibían información sobre el origen real del fallo, lo que multiplicaba los intentos y, con ellos, la propia saturación.

Tercero, un error de identificación territorial: al seleccionar «Las Palmas», el sistema la registraba como «Las Palmas de Gran Canaria», una denominación incorrecta —Las Palmas de Gran Canaria es la capital, no la provincia— que ha generado confusión entre los usuarios majoreros, que también pertenecen a la provincia de Las Palmas.

Y por encima de todo, una crítica más estructural: el horario. La venta arrancó a las 12:00 horas de un martes laborable, cuando una parte significativa de la población activa de Canarias está trabajando y no puede pelear por un cupo que se agota en minutos. El resultado es un sentimiento generalizado de frustración. Muchos usuarios han manifestado abiertamente en redes que simplemente han desistido.

¿Quién es responsable de la plataforma?

El programa Bono Consumo Archipiélago canaliza 3 millones de euros de fondos públicos, con un efecto multiplicador que lleva la inversión total movilizada en el comercio canario a casi 5 millones de euros. A Fuerteventura le corresponden 6.629 bonos —de un total de 97.918 distribuidos por todo el archipiélago—, con un valor facial de 50 euros cada uno por los que el ciudadano paga 25.

Si el sistema de cola se podía saltar con un simple enlace de WhatsApp, como confirma la auditoría técnica, la equidad del reparto queda en entredicho: los ciudadanos que respetaron el procedimiento esperaron mientras otros entraban directamente. Y, según advierten los propios auditores, una persona con conocimientos técnicos podría incluso haber automatizado la compra y acaparar parte del cupo en cuestión de minutos.

Aunque el programa está financiado y promovido por la Consejería de Economía, Industria, Comercio y Autónomos del Gobierno de Canarias, la gestión operativa de la plataforma —y la responsabilidad jurídica sobre los datos de los usuarios— recae en las cuatro Cámaras Oficiales de Comercio de Canarias: la de Santa Cruz de Tenerife, la de Gran Canaria, la de Lanzarote y La Graciosa, y la de Fuerteventura. Cada una responde por lo que ocurre en su isla.

En el caso majorero, esa responsabilidad corresponde a la Cámara de Comercio de Fuerteventura, con sede en Puerto del Rosario.

A la hora de cerrar esta información, el portal bonoconsumoarchipielago.com, ya no quedan bnonos. Esta redacción mantiene abiertos los canales de contacto con la Consejería de Economía del Gobierno de Canarias y con la Cámara de Comercio de Fuerteventura para recoger sus versiones. Cualquier respuesta oficial será incorporada en cuanto se produzca. El enlace que circulaba por WhatsApp ya no esta operativo.