Otro tribunal de Brasil sufre un robo de datos bancarios de sus empleados

La Justicia de Brasil suma otro ataque informático. El Tribunal de Justiça do Maranhão (TJMA), la corte del estado de Maranhão, en el nordeste del país, confirmó que atacantes sacaron de sus sistemas archivos con datos personales y bancarios de empleados y ex empleados, según el comunicado que difundieron el 9 de noviembre el diario O Imparcial y blogs de São Luís, la capital estatal. El tribunal no informó cuántas personas están afectadas.

Los registros corresponden al año 2010 y estaban en el entorno de cuatro sistemas internos, SISRH, SCO, E-POP y E-SIG. El incidente se detectó el 13 de octubre, casi cuatro semanas antes de que se conociera. La investigación técnica confirmó "la transferencia externa de archivos que contenían bases de datos y otros documentos", según el texto reproducido por el blog de Neto Ferreira.

La información sale solo de ese comunicado, tal como lo publicó la prensa local. El blog de Gilberto Léda lo fecha el 7 de noviembre, mientras que los demás medios lo difundieron el lunes 9. LatamByte no encontró el texto en el sitio del tribunal.

Del CPF a la cuenta bancaria

La lista es amplia. Incluye nombre, número de legajo, CPFCadastro de Pessoas Físicas, el número de registro fiscal que identifica a cada persona en Brasil. Se pide para abrir cuentas, cobrar sueldos y hacer casi cualquier trámite., documento de identidad, fecha de nacimiento, domicilio, teléfono, correo, nombres de los padres y el número PIS/Pasep, que identifica a cada trabajador en los programas sociales del país. También figuran datos bancarios y funcionales y registros de acceso y autenticación en los sistemas. Según el tribunal, la investigación todavía no confirmó la presencia de datos sensiblesDatos personales que, si se exponen o se usan mal, pueden causar discriminación o daño grave, como la salud, la orientación sexual, las creencias o los datos biométricos. Las leyes de protección de datos les exigen más cuidado., la categoría de la ley brasileña de protección de datos que abarca, entre otros, la salud y el origen étnico. Los datos bancarios no entran en esa categoría, pero son los que más sirven para estafar.

El comunicado tampoco dice quién atacó, si hubo pedido de rescate ni cómo entraron. Habla de "vulnerabilidades identificadas" y de revisar credenciales, accesos y "relaciones de confianza entre sistemas". El tribunal aisló el servidor comprometido, preservó evidencias, avisó a la empresa que desarrolla y mantiene los sistemas y a la policía, y dijo que notifica a los afectados uno por uno. No menciona de forma expresa a la Autoridad Nacional de Protección de Datos (ANPD)Autoridad Nacional de Protección de Datos (ANPD) Organismo de Brasil que fiscaliza el cumplimiento de la ley general de protección de datos personales (LGPD) y recibe los avisos de incidentes de seguridad.. Los sistemas atacados vuelven solo cuando se corrijan las fallas.

Una serie de ataques a la Justicia

El caso de Maranhão llega después del de otro tribunal estatal. El 21 de septiembre, el Tribunal de Justiça de Mato Grosso sacó de línea todos sus sistemas, incluido el expediente judicial electrónico, tras un ataque que aprovechó una brecha abierta el día anterior por la carga indebida de un modelo de documento, según Convergência Digital. Dos días después confirmó que los atacantes accedieron a usuarios y contraseñas cifradas.

La Policía Federal investiga si el mismo autor está detrás del ataque de Mato Grosso, del desvío de 43 millones de reales en depósitos judiciales del Tribunal de Justiça da Bahia a través de una plataforma del Banco de Brasília, del 18 de septiembre, y de una intrusión en el Senado en marzo, según el mismo medio. El tribunal bahiano dijo que sus sistemas internos no fueron afectados. En noviembre, la Secretaría de Salud de Mato Grosso apagó sus sistemas por su segundo ataque del año, como contó LatamByte. Ninguna fuente vincula esos casos con el de Maranhão.

Llamadas con datos reales

El tribunal pidió a empleados y ex empleados desconfiar de mensajes, llamadas y correos que usen sus datos personales para pedir contraseñas, códigos, datos bancarios, transferencias o pagos. Con nombre, CPF y banco de la víctima se arma el golpe de la falsa central telefónicaEstafa en la que alguien llama haciéndose pasar por el banco, a veces con datos reales de la víctima, para convencerla de dar sus claves o hacer transferencias., en el que alguien llama en nombre del banco y cita datos reales para ganar confianza, como en el caso de los presuntos hackers que LatamByte contó el 8 de noviembre.

Quien tenga dudas puede llamar a la División de Telejudiciario del TJMA, al 0800 707 1581, gratis desde teléfonos fijos de Brasil, o al (98) 2055 2000, de lunes a viernes de 8 a 18 en hora de Brasilia (de 11 a 21 UTC). Fuera de Brasil vale la misma regla, porque un banco o un organismo público no pide claves por teléfono, y ante la duda hay que cortar y llamar por los canales oficiales.