Un ciberataque contra los sistemas informáticos de la Administración de Moldavia ha comprometido los datos personales de unas 450.000 personas, cerca del 19% de la población del país. La presidenta, Maia Sandu, ha confirmado este viernes el alcance de la filtración y ha reconocido que las instituciones no detectaron ni comunicaron a tiempo la gravedad del incidente, que ha dejado al descubierto importantes deficiencias en la protección de la información pública.
La intrusión se produjo entre el 19 y el 23 de octubre y permitió acceder a información almacenada en los registros de al menos diez instituciones estatales. Entre los datos comprometidos figuran nombres, información sanitaria, pensiones, prestaciones sociales, vínculos familiares y determinados datos financieros.
La cifra de afectados supone una revisión a la baja respecto a las primeras estimaciones oficiales, que apuntaban a 750.000 personas. No obstante, el Gobierno moldavo reconoce que la magnitud del incidente sigue siendo considerable y ha anunciado que los ciudadanos afectados recibirán notificaciones individuales.
Sandu ha convocado al Consejo Nacional de Seguridad para examinar lo sucedido y coordinar la respuesta de las instituciones. La presidenta ha advertido especialmente del riesgo de que la información robada se utilice para estafas telefónicas, mensajes fraudulentos y suplantaciones de identidad.
Un fallo permitió acceder a los registros de diez instituciones
La investigación preliminar ha identificado problemas en el diseño de los sistemas de intercambio de información de la Administración moldava.
Según ha explicado Sandu, las plataformas comprobaban qué aplicación solicitaba los datos, pero no verificaban adecuadamente la identidad de la persona que realizaba la consulta ni si tenía autorización para acceder a esa información.
Esta vulnerabilidad permitió que una aplicación con permisos deficientes abriera la puerta a registros de distintas instituciones públicas.
El sistema tampoco disponía de controles suficientes para limitar el volumen de información consultada ni de alertas automáticas capaces de detectar extracciones extraordinarias.
Los atacantes realizaron alrededor de 11 millones de solicitudes de acceso y consultaron aproximadamente un millón de números de identificación personal, según los datos preliminares de la Agencia de Gobernanza Electrónica (AGE).
El 20 de octubre fue la jornada de mayor actividad. Las solicitudes a los servicios digitales alcanzaron niveles treinta veces superiores a los habituales y se extrajeron datos de más de 260.000 personas.
Datos médicos, cuentas bancarias y prestaciones sociales
La información comprometida procede de distintos registros administrativos y contiene datos especialmente sensibles.
Además de nombres, fechas y lugares de nacimiento, los atacantes pudieron consultar información sobre el estado de salud de los ciudadanos, sus médicos de cabecera, situaciones de discapacidad y prestaciones sociales.
También quedaron expuestos datos de familiares, fotografías, permisos de conducir, vehículos, información empresarial, números de cuenta bancaria, deudas fiscales e historiales de pagos.
La presidenta ha asegurado que no se ha detectado un uso de los datos bancarios para acceder directamente a las cuentas de los ciudadanos. Sin embargo, ha pedido extremar las precauciones ante posibles intentos de fraude.
Las autoridades recomiendan no facilitar información personal por teléfono, desconfiar de mensajes que soliciten datos bancarios y contactar directamente con las entidades financieras o con la policía a través de sus canales oficiales.
El Gobierno reconoce retrasos y fallos de coordinación
La respuesta al ataque obligó a desconectar preventivamente 82 servicios públicos digitales y más de 30 sistemas informáticos y paneles de administración.
El 21 de octubre, las autoridades consiguieron detener el acceso a información sobre familiares de los ciudadanos. Dos días después comenzaron a bloquear las conexiones utilizadas por los atacantes y, el 24 de octubre, cesó la actividad detectada.
Posteriormente se produjeron nuevos intentos de intrusión, los días 25 y 27 de octubre, que las autoridades aseguran haber neutralizado sin nuevas extracciones de información.
Sandu ha admitido que la reacción institucional fue insuficiente, especialmente en la comunicación con la población.
La presidenta ha reconocido que la ausencia de un protocolo claro de comunicación provocó retrasos y dificultades para distribuir las responsabilidades entre las instituciones.
El Ejecutivo ha creado un grupo de trabajo encabezado por el primer ministro, Vasile Tofan, para coordinar las actuaciones y revisar las vulnerabilidades detectadas.
Los servicios públicos afectados se han recuperado progresivamente, después de someter sus sistemas a comprobaciones de seguridad.
La Fiscalía investiga el robo de información
La Fiscalía de Chisináu ha abierto una investigación penal por posibles delitos relacionados con la vulneración de la intimidad y la divulgación de información protegida.
La portavoz de la Fiscalía General, Violina Moraru, ha confirmado la apertura de diligencias, aunque no ha facilitado información sobre los posibles responsables.
Las autoridades moldavas no han atribuido oficialmente el ataque a ningún país ni han identificado públicamente a sus autores.
Sandu ha descartado, por el momento, que existan indicios de un sabotaje interno. La investigación deberá determinar cómo se produjo el acceso a los sistemas y quién está detrás de la extracción de datos.
El Gobierno anuncia nuevas medidas de seguridad
Tras la reunión del Consejo Nacional de Seguridad, las autoridades han acordado reforzar los controles de acceso a los registros públicos, limitar la cantidad de información que puede consultarse y mejorar los mecanismos de detección de actividades sospechosas.
La Agencia de Gobernanza Electrónica notificará individualmente a los afectados. Además, los bancos recibirán información sobre los ciudadanos cuyos datos fueron consultados para que puedan realizar comprobaciones adicionales ante posibles operaciones fraudulentas.
La investigación también tendrá consecuencias para la gestión de los servicios digitales. La directora de la Agencia de Gobernanza Electrónica, Nicoleta Colomeeț, ha anunciado su dimisión y las autoridades preparan dos auditorías para esclarecer los fallos de seguridad. Los primeros resultados están previstos para finales de noviembre y los siguientes, para principios de diciembre.
La posible implicación de un actor extranjero
La presidenta moldava ha señalado que las características del ataque son compatibles con la actuación de un actor estatal, aunque ha insistido en que todavía no se ha identificado a los responsables.
Moldavia, país fronterizo con Ucrania y Rumanía y candidato a ingresar en la Unión Europea, ha denunciado anteriormente operaciones de injerencia y desinformación atribuidas a Rusia. Sin embargo, las autoridades no han presentado pruebas que permitan vincular este ciberataque concreto con Moscú.
El incidente ha puesto en cuestión la seguridad de una Administración que ha impulsado durante los últimos años la digitalización de numerosos trámites públicos. La prioridad del Gobierno es ahora proteger la información de los ciudadanos y evitar que los datos obtenidos durante el ataque se utilicen en nuevas operaciones fraudulentas.