Los datos personales de alrededor de 450.000 ciudadanos moldavos han quedado expuestos en uno de los mayores ataques informáticos sufridos por las instituciones públicas de este país de 2,4 millones de habitantes incrustado entre Ucrania y Rumania. La presidenta de Moldavia, Maia Sandu, ha confirmado este viernes en una rueda de prensa televisada la dimensión de la filtración y ha reconocido que el incidente ha puesto al descubierto graves deficiencias en la arquitectura de seguridad de los sistemas digitales del Estado, debido a una arquitectura obsoleta y a un error del sistema. La jefa de Estado ha subrayado la gravedad del incidente al advertir de que los afectados pueden convertirse en objetivo de estafas telefónicas, mensajes fraudulentos y operaciones de suplantación de identidad.
La presidenta del país admite que las instituciones tardaron en detectar este robo de información personal, que puede usarse en fraudes
Los datos personales de alrededor de 450.000 ciudadanos moldavos han quedado expuestos en uno de los mayores ataques informáticos sufridos por las instituciones públicas de este país de 2,4 millones de habitantes incrustado entre Ucrania y Rumania. La presidenta de Moldavia, Maia Sandu, ha confirmado este viernes en una rueda de prensa televisada la dimensión de la filtración y ha reconocido que el incidente ha puesto al descubierto graves deficiencias en la arquitectura de seguridad de los sistemas digitales del Estado, debido a una arquitectura obsoleta y a un error del sistema. La jefa de Estado ha subrayado la gravedad del incidente al advertir de que los afectados pueden convertirse en objetivo de estafas telefónicas, mensajes fraudulentos y operaciones de suplantación de identidad.
La cifra supone una revisión a la baja respecto a las primeras estimaciones oficiales, que apuntaban a unos 750.000 ciudadanos. “La magnitud del incidente sigue siendo significativa. Las personas a cuyos datos se haya accedido deberán ser notificadas individualmente por la agencia de gobierno electrónico”, ha señalado el Gobierno de Moldavia a EL PAÍS.
Ante esta situación inédita, Sandu se vio obligada a convocar al Consejo Nacional de Seguridad para abordar este asunto en un momento de preocupación por los ciberataques que se están produciendo las últimas semanas como el mayor robo de criptomonedas de la historia a la plataforma Binance y la ola de sabotajes cibernéticos que han manipulado a distancia los sistemas de refrigeración industrial de cientos de supermercados, comercios e, incluso, bancos de sangre en toda Europa.
La mandataria ha asegurado que los datos bancarios no fueron utilizados para acceder a las cuentas de los ciudadanos, aunque ha pedido que se mantenga la máxima precaución ante cualquier comunicación sospechosa. “La causa ha sido estructural y de gobernanza, ya que los sistemas solo verificaban la aplicación que solicitaba los datos, no la identidad del usuario ni su derecho a acceder a ellos. De este modo, una sola aplicación con acceso defectuoso abrió los registros de al menos 10 instituciones”, ha explicado Sandu al describir cómo se produjo la intrusión.
Según la presidenta, el sistema permitía que, una vez dentro de una aplicación, se pudiera acceder a distintos registros públicos sin comprobar adecuadamente si el usuario tenía autorización para consultar esa información. “Es la consecuencia de una arquitectura en la que todos los registros son accesibles desde un único punto, sin control de los titulares ni limitaciones de volumen, lo que significa que no existe una alerta automática en situaciones en las que se supera una determinada cuota de extracciones”, ha señalado Sandu.
La intrusión se produjo entre el 19 y el 23 de octubre y tuvo como objetivo los sistemas informáticos de la Administración. Según los datos preliminares difundidos por la Agencia de Gobernanza Electrónica (AGE), los atacantes realizaron alrededor de 11 millones de solicitudes de acceso y consultaron aproximadamente un millón de números de identificación personal.
El ataque comenzó la noche del 19 de octubre, y el día de mayor actividad fue el 20 de octubre, cuando se solicitaron servicios digitales cerca de un millón de veces, 30 veces más que el promedio habitual. Además, en ese día se extrajeron datos de más de 260.000 personas. El 21 de octubre, la AGE detuvo el robo de datos sobre familiares de ciudadanos. Dos días después, la institución comenzó a bloquear el acceso de los atacantes y, el 24 de octubre, todos los ataques cesaron.
La respuesta técnica comenzó con la desconexión preventiva de 82 servicios públicos digitales y de más de 30 sistemas informáticos y paneles de administración. Sin embargo, las autoridades detectaron nuevos intentos de intrusión el 25 y el 27 de octubre, que aseguran haber bloqueado sin que consiguieran extraer más información. La recuperación de los servicios se ha realizado progresivamente, después de revisar sus sistemas de protección.
“La comunicación de las instituciones estatales se retrasó y no respondió a todas las inquietudes de la población. La falta de un protocolo de comunicación provocó indecisión en las funciones y las reacciones“, ha opinado Sandu. Sin embargo, la jefa de Estado ha descartado la posibilidad de un sabotaje interno.
La información comprometida incluye nombres y apellidos, fechas y lugares de nacimiento, datos de familiares, situación sanitaria, médico de cabecera, pensiones, prestaciones sociales, discapacidad, fotografías, permisos de conducir y vehículos. También se encontraron referencias a empresas y determinados datos financieros, como números de cuenta, deudas fiscales e historiales de pagos. Los bancos informarán a los clientes afectados para que puedan verificar las transacciones realizadas en su nombre.
Por su parte, Sandu ha recomendado colgar inmediatamente ante llamadas sospechosas y contactar directamente con el banco o la policía a través de sus números oficiales, sin devolver la llamada al teléfono desde el que se ha producido el contacto. También ha anunciado que el Ministerio de Educación organizará sesiones de formación en ciberseguridad para los estudiantes, que podrán trasladar esos conocimientos a sus familias y ha recalcado que todas las medidas adoptadas no pueden hacerse públicas para evitar que los responsables tengan conocimiento de ellas, pero ha revelado que ha creado un grupo de trabajo encabezado por el primer ministro Vasile Tofan.
La presidenta también ha alertado de que los ciberataques son cada vez más frecuentes en muchos países del mundo, y que algunos de ellos forman parte de la “guerra híbrida” que libra Rusia contra los países europeos, aunque no ha atribuido directamente el ataque a ningún Estado ni ha señalado a un responsable extranjero. “Las tecnologías de la información se desarrollan a un ritmo difícil de seguir”, ha declarado. “Los riesgos no se pueden eliminar, pero podemos aprender a afrontarlos de forma organizada y rápida”, ha agregado.
“Las autoridades sospechan la participación de un actor estatal extranjero”, explica Mihai Isac, experto en geopolítica del Mar Negro. “Se debe seguir el camino ruso hasta el final. Ya en junio, el servicio secreto moldavo advirtió de que los servicios especiales rusos están recopilando masivamente datos de nuestros ciudadanos para operaciones de fraude y espionaje”, remarca antes de asegurar que “Moldavia no resistirá en el frente híbrido sin el apoyo de los estados socios”.
La dimensión del incidente ha llegado también a los tribunales. La Fiscalía de Chisinau ha abierto una investigación penal por posibles delitos de vulneración de la intimidad y divulgación de datos relacionados con una investigación penal. La portavoz de la Fiscalía General, Violina Moraru, ha manifestado que ya se están realizando actuaciones procesales, aunque no ha ofrecido detalles sobre los posibles responsables. “El robo de datos resulta extremadamente grave no solo por la cantidad de información, sino también por el riesgo de que se utilicen más tarde para fraude, ingeniería social u otras operaciones de influencia”, indica Rosian Vasiloi, experto en políticas de seguridad. Vasiloi hace hincapié en la necesidad de saber dónde existían vulnerabilidades, cómo era posible la sustracción de datos y qué se está cambiando para que la situación no se repita.
El episodio supone un golpe para un país que ha convertido la digitalización de sus servicios públicos en una de sus principales apuestas de modernización. Moldavia, candidata a ingresar en la Unión Europea en 2030, ha impulsado plataformas que permiten realizar numerosos trámites administrativos desde el teléfono móvil. Pero el ataque ha mostrado el reverso de esa transformación.
Feed MRSS-S Noticias
