Moldavia confirma el robo de datos médicos y bancarios de 450.000 personas

Los atacantes que entraron en octubre a los sistemas del Estado de Moldavia se llevaron datos personales de unas 450.000 personas, entre ellos su situación de salud, su médico de cabecera, sus pensiones, números de cuenta bancaria y deudas con el fisco. La presidenta Maia Sandu confirmó la cifra el 6 de noviembre, tras reunir al Consejo Nacional de Seguridad, y reconoció que el Estado tardó en detectar el robo y en informar, según El País y el medio moldavo Moldova Live.

La cifra es menor que la primera. La Agencia de Gobernanza Electrónica, el organismo moldavo que administra los servicios digitales del Estado, había hablado de unos 750.000 afectados, una estimación hecha antes de tener toda la información, según Moldova Live. Aun así, en un país de unos 2,4 millones de habitantes, son cerca de uno de cada cinco. Algunos medios europeos titularon que era casi un cuarto de la población, pero la cuenta da alrededor del 19 %.

Una puerta sin portero

La explicación de Sandu fue más incómoda que la cifra. "La causa fue estructural y de gobernanza, porque los sistemas solo verificaban la aplicación que pedía los datos, no la identidad del usuario ni su derecho a acceder a ellos. Así, una sola aplicación con acceso defectuoso abrió los registros de al menos diez instituciones", dijo la presidenta, citada por El País.

Es un problema de control de accesoConjunto de reglas que decide quién puede ver o modificar cada recurso de un sistema. Una falla de control de acceso deja llegar a datos o funciones a usuarios que no deberían. de manual. Todos los registros públicos se podían consultar desde un único punto, sin límite de volumen y sin una alarma que saltara cuando alguien pedía datos a un ritmo anormal. Los atacantes consiguieron primero una lista de números de identificación personal, el código único de cada ciudadano moldavo, y la usaron para avanzar dentro del sistema, según Moldova Live. La agencia ya había explicado que aprovecharon servicios que se podían consultar sin iniciar sesión, informó ID Tech.

El ataque empezó la noche del 19 de octubre, con pedidos automáticos desde más de 638 direcciones de internet. El día más intenso fue el 20 de octubre, con cerca de un millón de consultas en 24 horas, 30 veces el promedio habitual, y más de 260.000 registros con datos de familiares extraídos ese mismo día. En total hubo unos 11 millones de pedidos y alrededor de un millón de números de identificación consultados. El Estado bloqueó a los atacantes entre el 23 y el 24 de octubre, desconectó 82 servicios digitales y más de 30 sistemas, y frenó nuevos intentos el 25 y el 27 de octubre.

Lo que quedó expuesto

Además de los datos sensiblesDatos personales que, si se exponen o se usan mal, pueden causar discriminación o daño grave, como la salud, la orientación sexual, las creencias o los datos biométricos. Las leyes de protección de datos les exigen más cuidado. de salud, la filtración incluye nombres, fechas y lugares de nacimiento, datos de familiares, prestaciones sociales, discapacidad, fotografías, licencias de conducir, vehículos y empresas a nombre de cada persona, junto con historiales de pago en MPay, el portal de pagos del Estado. No todos los afectados perdieron todos esos datos, aclaró la agencia. Sandu aseguró que los datos bancarios no se usaron para entrar a las cuentas, y los bancos avisarán a sus clientes para que revisen sus movimientos.

El riesgo inmediato es el fraude telefónico y la suplantación de identidadUso de los datos personales de otra persona para hacerse pasar por ella ante una empresa u organismo, por ejemplo para contratar servicios o hacer compras a su nombre., advirtió la presidenta. Pidió cortar las llamadas sospechosas y comunicarse con el banco o la policía por sus números oficiales, nunca devolviendo el llamado. La agencia de gobierno electrónico tendrá que avisar uno por uno a los afectados, dijo el gobierno a El País. Con nombre, familia, médico y deudas en la mano, un estafador tiene casi todo lo que necesita para la ingeniería socialConjunto de técnicas de manipulación que buscan que una persona entregue datos, contraseñas o dinero aprovechando la confianza, la autoridad o la urgencia, en lugar de explotar una falla técnica..

Nadie fue señalado

Sandu descartó un sabotaje interno y no atribuyó el ataque a ningún Estado. Sí recordó que algunos ciberataques forman parte de la guerra híbridaForma de conflicto en la que un Estado ataca a otro sin declarar la guerra, combinando ciberataques, desinformación, sabotajes, presión económica y otras acciones difíciles de atribuir. que Rusia libra contra los países europeos. La fiscalía de Chisinau, la capital, abrió una investigación penal por posible violación de la intimidad, sin dar detalles de sospechosos. La directora de la agencia, Nicoleta Colomeeț, ya había renunciado a fines de octubre, y dijo entonces que el organismo funcionaba con 74 personas, contra 108 puestos aprobados.

"La comunicación de las instituciones estatales se retrasó y no respondió a todas las inquietudes de la población", admitió Sandu. El gobierno armará un grupo de trabajo encabezado por el primer ministro, Vasile Tofan, y el Ministerio de Educación preparará una clase sobre protección de datos para alumnos de secundaria. El Consejo Nacional de Seguridad volverá a reunirse en tres meses para revisar las medidas.