Info

Argenzuela, Escándalo sin precedentes roban y filtran miles de datos

Se trata de un evento sin precedentes, aún superior al que registró Migraciones el año pasado ya que afectaría a todos los argentinos

Argenzuela, Escándalo sin precedentes roban y filtran miles de datos published in Info

l Estado argentino acaba de ser victima por estas horas de un hackeo sin precedentes: la base de datos del Registro Nacional de las Personas (Renaper), que contiene los datos privados de todos los habitantes del país, fue accedido y filtrado en foros de seguridad informática.

Se trata de un evento aún de mayor magnitud que el protagonizado el año pasado por la Dirección Nacional de Migraciones, ya que en esa oportunidad se habían filtrado sólo los datos de quienes ingresaron o salieron del país.

Datos

En efecto, el "DNI Gate" afectaría a los 45 millones de habitantes del territorio que tengan un documento nacional de identidad, ya que se han filtrado:

  • Nmeros de documento
  • Domicilios
  • Número de trámite (que sirve para gestiones como obtener un crédito online)
  • Fechas de nacimiento
  • Números de celular en algunos casos (en redes se afirma que fue difundido el teléfono del ministro de Seguridad, Aníbal Fernández)

Más allá del ataque a la privacidad de los usuarios, también se los deja indefensos ante robos de identidad, ya que el número de trámite del DNI se exige para la otorgación de créditos online. También es posible que se realicen secuestros virtuales.

Según pudo conocer iProUP, es inminente que la Unidad Fiscal Especializada en Ciberdelincuencia, comandada por Horacio Azzolin, presente una denuncia formal para investigar el hecho.

En efecto, el experto en seguridad informática Javier Smaldone publicó en su Twitter algunas prueba de este hackeo, en el que se puede ver las fotos del DNI de periodistas, famosos y futbolistas. También muestra cómo se filtró su propia imagen.

Sin embargo, el Renaper realizó una denuncia penal ante el Juzgado en lo Criminal y Correccional Federal N°11. Según el indica la dependencia estatal, "mediante el uso de claves otorgadas a organismos públicos, en este caso el Ministerio de Salud, se filtraron imágenes como pertenecientes a trámites personales realizados en el Renaper. Desde el organismo dependiente del Ministerio del Interior se confirmó que se trató de un uso indebido de usuario o robo de la clave del mismo y que la base de datos no sufrió vulneración o filtración alguna".

"El sábado 9 de octubre el Renaper tomó conocimiento de que un usuario de Twitter identificado con el nombre de @aniballeaks -cuenta que fue denunciada y que actualmente se encuentra suspendida- había publicado en dicha red social las imágenes de 44 individuos, entre los cuales se encontraban funcionarios y personajes públicos de conocimiento en general" señala el escrito.

Y añade: "El equipo de seguridad informática del Renaper realizó una consulta sobre las 44 personas involucradas a fin de relevar los últimos consumos realizados mediante el uso del Sistema de Identidad Digital (SID) sobre dichos perfiles, detectando que 19 imágenes habían sido consultadas en el exacto momento que eran publicadas en la red social Twitter desde una conexión autorizada de VPN (Virtual Private Network) entre el ReNaPer y el Ministerio de Salud de la Nación, y todas las imágenes habían sido consultadas recientemente desde esa misma conexión".

Daminificados

Daniel Monastersky y Facundo Malaureille General Partner, de datagovernancelatam y directores de la Diplomatura en Data Governance de la Universidad del CEMA, comentaron a iProUP que existen varios grupos de damnificados que están denunciado la venta de la base de datos personales.

"En el 2018 hay una comunicación de la Dirección de Protección de Datos en la que sugiere que la notificación de este tipo de hechos para que se tomen cartas en el asunto, respecto a qué datos se comprometieron y detallar cómo se produce este tipo de filtraciones", señala Monastersky.

Así lo dispone, el reglamento Europeo de la protección de datos. "Si bien es una recomendación, no es exigible hay cuestiones más técnicas que tiene que ver sobre qué implicancias tuvo. Cualquiera de las personas implicadas puede realizar una denuncia y solicitar una investigación para ver si se contaba con las protecciones básicas a fin de evitar estas filtraciones",  remarca el letrado.

Malaureille advierte que el Renaper tiene datos vinculados a nombres, apellidos, domicilios de las personas que pueden llegar a ser sensibles. "Una persona que quiera hacer un secuestro extorsivo puede acceder al domicilio, con los datos del DNI o el nombre puede saber los contactos actualizados. Hay que recordar que las últimas versiones del DNI tienen número de trámite y con eso se pueden hacer una gran variedad de trámites. Por ejemplo, podes poner que una persona tiene COVID y negarle la salida del país o controlar todas las gestiones que requieren estos datos".

Además, los expertos señalan que en Europa los organismos que tienen base de datos publica requieren que se contrate un DPO, un data privacy officer, que es un profesional con los conocimientos necesarios para poder delimitar y asesorar los organismos respecto al uso de eso datos dentro de la organización.

"Esto en Argentina no está contemplado y  se vienen postergando las reformas desde hace varios años.  Hubo varios proyectos pero ninguno avanzó y terminó perdiendo estado parlamentario", dice Monastersky.

Más allá de la justificación del Renaper, las investigaciones intentarán determinar si fue un ataque de ransomware (secuestro de datos a cambio de un rescate), si fue sólo una pequeña brecha de seguridad sin acceso a la base o si directamente los criminales aprovecharon una falla para robar y vender los datos en la dark web.

El caso de Migraciones

Las luces de alarma se encendieron el 27 de agosto. La Dirección de Migraciones confirmó que ciberdelincuentes internacionales atacaron el Sistema Integram de Captura Migratoria (SICAM) con una modalidad conocida como ransomware, es decir, un "secuestro 4.0".

Lo que hacen los cibercriminales es cifrar los datos de una empresa u organización, por lo que quedan inutilizables para sus propietarios. Para entregar la clave que reestablezca el acceso, suelen pedir un rescate, especialmente en monedas digitales.

En el caso de Migraciones, un grupo de atacantes reclamó el pago de u$s70 millones, que luego se redujo a u$s4 millones. Pero fueron más allá: como el Estado argentino se rehusó a cumplir con las exigencias, la banda difundió todos los datos presuntamente robados.

Según el Gobierno, la organziación robó documentación interna (archivos PDF y Excel), pero no lograron acceder a las base de datos, en las que se encuentra la información más sensible.

Horacio Azzolin, titular de la Unidad Fiscal Especializada en Ciberdelincuencia que colaborará en al causa con el Fiscal Guillermo Marijuán, afirma a iProUP que se trata de un fenómeno en aumento.

"Cifras oficiales no hay, porque son delitos de muy baja tasa de denuncia, pero hubo un incremento de los reportes y recibimos alertas de Interpol. Vemos ataques a Pymes, empresas grandes y organismos públicos", afirma Azzolin.