Un ciberatac contra els sistemes informàtics de l’Administració de Moldàvia ha compromès les dades personals de prop de 450.000 persones, a prop del 19% de la població del país. La presidenta, Maia Sandu, ha confirmat aquest divendres l’abast del filtratge i ha reconegut que les institucions no van detectar ni comunicar a temps la gravetat de l’incident, que ha deixat al descobert importants deficiències en la protecció de la informació pública.
La intrusió es va produir entre el 19 i el 23 d’octubre i va permetre accedir a informació emmagatzemada als registres d’almenys deu institucions estatals. Entre les dades compromeses hi figuren noms, informació sanitària, pensions, prestacions socials, vincles familiars i determinades dades financeres.
La xifra d’afectats suposa una revisió a la baixa respecte a les primeres estimacions oficials, que assenyalaven 750.000 persones. No obstant això, el Govern moldau reconeix que la magnitud de l’incident continua sent considerable i ha anunciat que els ciutadans afectats rebran notificacions individuals.
Sandu ha convocat el Consell Nacional de Seguretat per examinar el que ha passat i coordinar la resposta de les institucions. La presidenta ha advertit especialment del risc que la informació robada s’utilitzi per a estafes telefòniques, missatges fraudulents i suplantacions d’identitat.
Un error va permetre accedir als registres de deu institucions
La investigació preliminar ha identificat problemes en el disseny dels sistemes d’intercanvi d’informació de l’Administració moldava.
Segons ha explicat Sandu, les plataformes comprovaven quina aplicació sol·licitava les dades, però no verificaven adequadament la identitat de la persona que feia la consulta ni si tenia autorització per accedir a aquella informació.
Aquesta vulnerabilitat va permetre que una aplicació amb permisos deficients obrís la porta a registres de diferents institucions públiques.
El sistema tampoc disposava de controls suficients per limitar el volum d’informació consultada ni d’alertes automàtiques capaces de detectar extraccions extraordinàries.
Els atacants van fer al voltant de 11 milions de sol·licituds d’accés i van consultar aproximadament un milió de números d’identificació personal, segons les dades preliminars de l’Agència de Governança Electrònica (AGE).
El 20 d’octubre va ser la jornada de més activitat. Les sol·licituds als serveis digitals van assolir nivells trenta vegades superiors als habituals i es van extreure dades de més de 260.000 persones.
Dades mèdiques, comptes bancaris i prestacions socials
L’ informació compromesa procedeix de diferents registres administratius i conté dades especialment sensibles.
A més de noms, dates i llocs de naixement, els atacants van poder consultar informació sobre l’estat de salut dels ciutadans, els seus metges de capçalera, situacions de discapacitat i prestacions socials.
També van quedar exposades dades de familiars, fotografies, permisos de conduir, vehicles, informació empresarial, números de compte bancari, deutes fiscals i historials de pagaments.
La presidenta ha assegurat que no s’ha detectat un ús de les dades bancàries per accedir directament als comptes dels ciutadans. Tanmateix, ha demanat extremar les precaucions davant possibles intents de frau.
Les autoritats recomanen no facilitar informació personal per telèfon, desconfiar de missatges que sol·licitin dades bancàries i contactar directament amb les entitats financeres o amb la policia a través dels seus canals oficials.
El Govern reconeix retards i fallos de coordinació
La resposta a l’atac va obligar a desconnectar preventivament 82 serveis públics digitals i més de 30 sistemes informàtics i panells d’administració.
L’21 d’octubre, les autoritats van aconseguir aturar l’accés a informació sobre familiars dels ciutadans. Dos dies després van començar a bloquejar les connexions utilitzades pels atacants i, el 24 d’octubre, va cessar l’activitat detectada.
Posteriorment es van produir nous intents d’intrusió, els dies 25 i 27 d’octubre, que les autoritats asseguren haver neutralitzat sense noves extraccions d’informació.
Sandu ha admès que la reacció institucional va ser insuficient, especialment en la comunicació amb la població.
La presidenta ha reconegut que la manca d’un protocol clar de comunicació va provocar retards i dificultats per distribuir les responsabilitats entre les institucions.
El Govern executiu ha creat un grup de treball encapçalat pel primer ministre, Vasile Tofan, per coordinar les actuacions i revisar les vulnerabilitats detectades.
Els serveis públics afectats s’han recuperat progressivament, després de sotmetre els seus sistemes a comprovacions de seguretat.
La Fiscalia investiga el robatori d’informació
La Fiscalia de Chisináu ha obert una investigació penal per possibles delictes relacionats amb la vulneració de la intimitat i la divulgació d’informació protegida.
La portaveu de la Fiscalia General, Violina Moraru, ha confirmat l’obertura de diligències, tot i que no ha facilitat informació sobre els possibles responsables.
Les autoritats moldaves no han atribuït oficialment l’atac a cap país i no han identificat públicament els seus autors.
Sandu ha descartat, de moment, que existeixin indicis de sabotatge intern. La investigació haurà de determinar com es va produir l’accés als sistemes i qui està darrere de l’extracció de dades.
El Govern anuncia noves mesures de seguretat
Després de la reunió del Consell Nacional de Seguretat, les autoritats han acordat reforçar els controls d’accés als registres públics, limitar la quantitat d’informació que es pot consultar i millorar els mecanismes de detecció d’activitats sospitoses.
L’Agència de Governança Electrònica notificarà individualment als afectats. A més, els bancs rebran informació sobre els ciutadans les dades dels quals van ser consultades perquè puguin fer comprovacions addicionals davant possibles operacions fraudulentes.
La investigació també tindrà conseqüències per a la gestió dels serveis digitals. La directora de l’Agència de Governança Electrònica, Nicoleta Colomeeț, ha anunciat la seva dimissió i les autoritats preparen dues auditoríes per aclarir les fallades de seguretat. Els primers resultats estan previstos per a finals de novembre i els següents, per a principis de desembre.
La possible implicació d’un actor estranger
La presidenta moldava ha assenyalat que les característiques de l’atac són compatibles amb l’actuació d’un actor estatal, tot i que ha insistit que encara no s’ha identificat els responsables.
Moldàvia, país fronterer amb Ucraïna i Romania i candidat a ingressar a la Unió Europea, ha denunciat anteriorment operacions d’ingerència i desinformació atribuïdes a Rússia. Tanmateix, les autoritats no han presentat proves que permetin vincular aquest ciberatac concret amb Moscou.
L’incident ha posat en qüestió la seguretat d’una Administració que ha impulsat durant els últims anys la digitalització de nombrosos tràmits públics. La prioritat del Govern és ara protegir la informació dels ciutadans i evitar que les dades obtingudes durant l’atac s’utilitzin en noves operacions fraudulentes.