Según un funcionario ubicado en la planta 14 del Ministerio de Asuntos Económicos y Transformación Digital que habló con ABC, su red informática había sufrido un ciberataque. Sin embargo, la cuenta oficial del organismo institucional en Twitter ha desmentido la noticia: «Ningún departamento del Ministerio ha recibido el ataque mencionado ni se ha abierto investigación por parte de la Policía. Todos los sistemas de ciberseguridad están activos».
📢El Gobierno desmiente la información aparecida en el diario @abc_es sobre un ‘hackeo’ en @_minecogob.
➡️Ningún departamento del Ministerio ha recibido el ataque mencionado ni se ha abierto investigación por parte de @policia
🔒Todos los sistemas de ciberseguridad están activos https://t.co/qBP5MJN8Tp— Asuntos Económicos y Transformación Digital (@_minecogob) November 21, 2022
Francisco Valencia, director general de Secure&IT, apunta para 20BITS que la prensa posiblemente haya mezclado «el ataque al Punto Neutro del Consejo General del Poder Judicial [confirmado en la web de Poder Judicial España] con el ataque a la web del Ministerio de Asuntos Económicos». Además, aclara que «es raro que desde el Punto Neutro se consiga acceso para atacar la web del ministerio» porque esta suele estar alojada «en lugares que no tienen nada que ver con los servidores donde se encuentra la información».
Desde Secure&IT opinan que es probable que se hayan lanzado ataques simultáneos y que el ministerio mencionado haya sufrido un incidente. Por su parte, Juan Francisco Moreda, responsable de la Unidad de Ciberseguridad de Fibratel, explica para este artículo que lo que suele ocurrir en estos casos es que las administraciones públicas realicen investigaciones y que, en este caso, «han llevado al ministerio a desmentir este ciberataque concreto», aunque es posible que las investigaciones sigan dándose.
Marco Gómez, de Asuntos Académicos y Career Suport en 4Greeks Academy, reconoce para 20BITS que no puede establecer quién dice la verdad, pero dice que no es raro que una institución sea víctima de un ataque. «Basta con que alguien abra un correo incorrecto con una cuenta de la red interna y que ejecute un virus que se propague a otros ordenadores», explica el experto.
El ataque al Consejo General del Poder Judicial
Pese a que el Ministerio de Asuntos Económicos y Transformación Digital haya negado que haya sufrido un ciberataque a su red informática, eso no significa que no haya habido un acceso a un sitio gubernamental. Como ya se ha dicho más arriba, la web del Poder Judicial de España ha confirmado que su Consejo General fue afectado en la segunda quincena de octubre, concretamente en el Punto Neutro Judicial, la red de telecomunicaciones que conecta a los órganos judiciales con otras instituciones estatales.
La versión oficial afirma que los atacantes no accedieron a «datos relativos a procedimientos judiciales u otra información en poder de los Juzgados y Tribunales». Sobre esto, La Vanguardia informa que sí ha habido un acceso al departamento de ‘Análisis’ desde la red SARA, que se encarga de elaborar previsiones económicas y se estudian los datos de empleo, producción de los sectores, deuda e información confidencial de grandes empresas. Si bien esto no admitiría que se ha vulnerado la red del Ministerio de Asuntos Económicos, podría justificar la información dada desde algunos medios.
Los ciberdelitos más comunes a administraciones públicas
Valencia detalla para 20BITS que hay dos ataques informáticos que podrían considerarse los más habituales cuando la víctima es una institución estatal. «Uno que tiene que ver con la denegación de servicio [ransomware], que impide a la Administración hacer su trabajo –comenta-. El segundo es de robo de información. Los atacantes buscan información y dinero».
No obstante, el experto de Secure&IT asegura que no hay que cerrarse a los ataques que tienen como objetivo el dinero, ya que hay otros factores en juego, como «la ciberguerra, motivaciones políticas, de desestabilización del partido que está a cargo de una Administración o el acceso de datos«.
El responsable de ciberseguridad en Fibratel coincide en la idea de que el beneficio económico en los ataques a Administraciones públicas no es el único aliciente y que también buscan perjudicar la reputación de la administración. En su caso, destaca el malware y el phishing como tácticas más usadas.
Gómez subraya la existencia deciberataques dirigidos por otros Estados, que buscan el sabotaje o vulnerar los sistemas, o los de los llamados ‘hacktivistas’, como Anonymous.
¿Cómo afecta la desinformación sobre ataques a administraciones?
«Las administraciones públicas manejan datos muy sensibles de gran parte de la población, así como de la seguridad del estado –recuerda Moreda-. Crear un bulo en torno a un posible ciberataque supone un daño a la reputación de esta entidad y, por ende, al estado en general. Esto incluso puede traducirse en una repercusión negativa en la economía del país».
La información sobre un ataque a una administración siempre es muy sonada. Valencia admite que, cuando ocurre en España, es especialmente vulnerable: «No solamente porque es una Administración geopolíticamente muy inestable, sino porque también hay una pelea clarísima entre la administración del Gobierno central, la administración de las autonomías y de los ayuntamientos, y entre distintas comunidades autónomas», señala Valencia.
Además de la situación política, el experto de Secure&IT subraya que «la Administración nunca ha tenido el presupuesto suficiente para protegerse en materia de ciberseguridad». «Y, aunque tuviera ese presupuesto, no tiene medios, conocimientos ni cultura de ciberseguridad necesaria», menciona.
Hay ataques a instituciones estatales que son especialmente sonados, tal y como recuerda Valencia, como el del SEPE que se produjo en marzo de 2021, el ataque al Ministerio de Trabajo, el ataque a la sanidad catalana que expuso los datos de los pacientes y ahora el ataque al Punto Neutro Judicial.
«Los bulos son peligrosos y en temas de seguridad lo son más -relata Gómez-. Los bulos en ciberseguridad afectan la confianza, generan nerviosismo y pueden generar caos y reacciones inesperadas en la población». «Imagina que se diga que la base de datos de Hacienda ha sido secuestrada, podría generar grandes movimientos de dinero y desestabilizar la economía«, ejemplifica.
Así se protegen las administraciones públicas
Moreda alude a la cantidad de datos sensibles que las Administraciones públicas manejan de la población y de la seguridad del Estado. Según explica el profesional de Fibratel, es importante que cuenten con medidas preventivas, como la concienciación de los empleados:
«Hay que mentalizar al equipo humano sobre la importancia de no hacer clic en enlaces sospechosos o abrir documentos de los que se desconoce el remitente. Es cierto que hay que seguir trabajando en materia de concienciación, pero cada vez es más frecuente que esto ocurra».
Según afirma Valencia, las Administraciones no toman las medidas suficientes para proteger sus webs y servicios. «No están aplicando las medidas de seguridad que deberían hacerse -señala-. Hay un nivel de funcionariado preocupado por la seguridad y que están deseando implementar las medidas suficientes, pero se encuentran con frenos en la contratación, presupuestos limitados y cierta negligencia en la gestión de la propia administración».
Al contrario que Valencia, Gómez, de Geeks4 Academy, opina que «las organizaciones de gran importancia, públicas o privadas tienen una considerable consciencia sobre la importancia de la ciberseguridad». Él menciona que se ‘falla’ más a escala regional o local.
Apúntate a nuestra newsletter y recibe en tu correo las últimas noticias sobre tecnología.