Lío importante el que tenemos en nuestro país (España) ya que una compañía que se encargaba de hacer los reconocimientos médicos a miembros de la Guardia Civil y el Ejército, entre otros, ha denunciado un ciberataque que habría puesto en riesgo los datos personales de ambos cuerpos. El comunicado que ha emitido la empresa Medios de Prevención Externos Sur SL, con sede en Sevilla es el siguiente. “Queremos comunicar que el pasado día 22 de marzo, nuestros sistemas de información han sufrido un ciberataque de tipo Ransonware Lockbit 3.0”. La empresa comunicó que de inmediato pusieron una denuncia a la Guardia Civil y que estaban trabajando conjuntamente con Telefónica.
El ataque.
En este ataque Ransonware, se han visto comprometidos datos sensibles de Guardia Civil y el ejército. No se sabe hasta qué punto han podido acceder, pero datos como número de tarjeta de identificación profesional, número de teléfono móvil, correo electrónico, fecha de nacimiento, sexo, puesto de trabajo, resultado del reconocimiento médico y certificado de aptitud, serían algunos de los datos a los cuales habrían tenido acceso. Esto es un follón de los gordos, ya que son datos muy sensibles y que comprometen la seguridad de los trabajadores.
Consecuencias.
Siempre he dicho que cualquiera tiene derecho a equivocarse, y que por supuesto, cualquier empresa es susceptible de recibir un ataque como el que han recibido en esta ocasión. Pero existen una serie de patrones que no debemos pasar por alto. No es lo mismo que una empresa haga pruebas médicas a vacas que a fuerzas de seguridad como guardia civil y el ejército. Creo que el nivel de seguridad que deberían tener en este caso, tendría que ser tan alto que las posibilidades de un ataque con éxito como el realizado, fuera casi nulo. Estamos hablando de gente que se juega la vida por defendernos a todos, y que ahora, están expuestos.
¿Solución?
No existe una solución al problema, y esto es lo más grave. Se pueden poner parches, cambiar contraseñas y todo lo que quieras hacer. Pero esos datos filtrados…, en caso de hacerse un uso indebido de ellos, puede acarrear problemas serios. Estamos hablando de datos demasiado sensibles como son el número de teléfono y correo electrónico, que es algo indispensable en nuestro día a día y que, por precaución, tanto Guardia Civil como ejército, debería cambiar por el grado de peligrosidad de sus trabajos. Yo me pongo en el caso, que llevo 30 años con el mismo número, y sinceramente me jodería bastante.
¿Penalizaciones?
Esto es complejo, porque como dije antes, todos tienen derecho a equivocarse. Yo entiendo que, a esta empresa, debería caerle una multa ejemplarizante y que seguramente fuera la consecuencia de su posterior cierre. Y me sabe mal decirlo, pero es que no se puede confiar en una empresa que no tiene a buen recaudo datos tan extremadamente sensibles. Entiendo que no han efectuado bien su misión y como tal, no se debe confiar en ellos. De igual manera, aunque no les pasara nada, ya que como digo, es una ataque que cualquier empresa o entidad, es potencialmente posible víctima, dudo que sabiéndose quien ha sido y a quien ha afectado, muchas empresas importantes vayan a confiar en ellos. Me da que esto será una losa demasiado grande y que les pesará de aquí en adelante.
Soluciones futuras.
Como siempre he dicho…, es necesario una ID única que haga que cualquier persona que aceda a internet, deje un rastro, ciego, pero un rastro. Y en caso de lío…, se busca la ID responsable y se accede al centro de datos donde se almacenen los datos personales de esa persona. De igual manera, todos los datos sensibles, DNI, dirección teléfono…, deberían estar en un sitio independiente, donde cualquiera que quiera acceder a ellos, tenga que tener autorización temporal del usuario. Que Telefónica quiere acceder al teléfono de tal persona para hacerle una oferta…, toc, toc al centro de datos y emisión de solicitud temporal, que la aceptas, tienen acceso. De esta manera, se consigue una seguridad absoluta de todos los datos y quien puede manejarlos.
Conclusión.
Cualquier empresa o entidad es susceptible de hackeo, pero no se puede pasar por alto que suceda en hospitales, colegios o fuerzas del orden. Creo que son sitios sagrados que no se deberían profanar. Especial sensibilidad con la Guardia Civil, que históricamente han sido azotados por los asesinatos y ataques. No puede quedar impune que por culpa de una empresa que debería haber gestionado con pulcritud sus datos sensibles, ahora han quedado expuestos. No se sabe quién o para que se han robado los datos, pero no tiene pinta que sea un pirata simpático, de esos que simplemente ataca entidades con seguridad débil para luego venderles el antídoto y que mejoren la seguridad, que de esos hay muchos, y hacen más bien que mal en la mayoría de casos. Te esperamos en el Canal de Telgram donde encontrarás muchas cosas interesantes.
