El "problema serio" que puede generar el hackeo a Identificación Civil

En 2020, DNIC sufrió un hackeo donde se vieron comprometidos los datos personales de 84.001 personas. Según se supo el 10 de julio de este 2022, por un pedido de informe de la senadora frenteamplista Silvia Nane, los datos están relacionados a la información contenida en los pasaportes electrónicos: incluyen nombres, apellidos, fecha de emisión y vigencia, foto y firma olográfica junto a la rúbrica del funcionario que autorizó el documento.

"Vender los datos es una opción, usarlos para hacer ataques de phishing es otra", explicó Daniel Alano, experto en seguridad informática. "Se los podés vender a alguien que quiera hacer phishing", añadió en diálogo con Cromo. "Se conseguirá el mail de todas esas personas, si no fue uno de los datos que se filtró y se usará para hacer phishing a escala masiva", señaló.

El phishing es un tipo de ataque informático. Usualmente a través de mails, redes sociales, servicios de mensajería u otras vías, el remitente se hace parar por una persona o una institución de confianza, como un banco, una empresa, una institución pública, para manipular a la víctima y lograr que dé información, como usuarios y contraseñas, o datos personales. 

Por otro lado, Reynaldo De La Fuente, director de Datasec, dijo que la información afectada "es valiosa para quien quiera robarnos la identidad en forma digital o presencial". Asimismo, a partir de pretender adoptar otra identidad estafas o fraudes. Por ejemplo, si alguien se presenta como una persona que no es, con datos personales que consiguió en el hackeo, y se contacta con un conocido para pedirle algo. 

De La Fuente señaló también que los datos afectados en este ciberataque son permanentes. A una tarjeta de crédito se le puede dar de baja, pero "tu pasaporte, tu número de cédula, no van a cambiar". "Es información que puede ser usada hoy y en el futuro", subrayó.

Leé también

Hackeo a Identificación Civil: el antecedente de quien obtuvo las cédulas de casi todos los uruguayos

El hackeo a la DNIC había sido reconocido por la cartera mediante un comunicado público el 12 de febrero de 2021. Allí se indicaba que, el 8 de diciembre anterior, se había detectado un "incidente de ciberseguridad" que pudo contenerse. Pero los primeros registros del ataque datan del 29 de agosto de 2020, según informó el ministerio en respuesta al pedido de informes. 

Consultado por El Observador, Paulo Rocha, director de la Unidad de Cibercrimen del Ministerio del Interior, dijo que no estaba al tanto del hackeo a 84.100 personas en 2020. Señaló que la unidad se creó hace "once meses" y que en "los casos anteriores los trabajaba Delitos Informáticos de Interpol".

Por otro lado, al responder, la cartera anexó un informe en el que el Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy) sostuvo que se trató de una intrusión de una "severidad muy alta" y que "no fue posible" identificar el vector del ataque inicial, su origen ni las subsiguientes actividades relacionadas con este caso dentro de la base de registros personales la DNIC.

Tampoco se pudo constatar ni descartar la extracción de datos fuera de la infraestructura de esa dirección, así como tampoco su alcance total. Lo que sí fue posible evidenciar es que el atacante contaba con "conocimientos avanzados de los sistemas internos, lo que le permitió acceder al servidor de esa base de datos, y descargar a una máquina local toda la información vinculada al sistema de pasaportes. 

"Como no saben cómo entraron, tampoco creo que sepan muy bien si siguen adentro o si dejaron algún método para volver a entrar", sostuvo Alano. "Acá es donde viene el problema serio y es que tienen acceso a la DNIC, donde pueden adulterar registros y pueden hacer existir personas que no existen o cambiar la identidad de algunas personas. Incluso, podrían llegar a hacer sus propias cédulas, falsificarlas, modificar documentos. Las posibilidades son infinitas. Porque después de que tenés un documento ilegítimo, pero que lo hacés con todas las herramientas legítimas, porque adultera los registros de la DNIC, ahí ya podés hacer muchas otras cosas", explicó. 

Por su parte, De La Fuente rescató el proceder de la cartera y dijo que "en términos internacionales, lo normal es que pases varios meses hasta que se detecte" un hackeo o un ciberataque. Asimismo, destacó que la cartera se dio cuenta dentro, cuando muchas veces el organismo se da cuenta después de que "explota la bomba" y a partir de que una estafa, por ejemplo, señala un ataque que no habían percibido.  

"Cortó los sistemas y tomó medidas", agregó De La Fuente.

Exdirector de la DNIC le respondió a Heber

El ministro del Interior, Luis Alberto Heber, alegó el lunes que la cartera heredó de la gestión anterior "unas computadoras viejísimas" y "muy vulnerables". Además, prometió que "no va a volver a suceder”, y que desde el Interior hicieron un llamado a licitación y están "adjudicando en estos días todo un equipamiento nuevo para la NIC, de última generación”.

Ruben Amato, titular de la DNIC desde 2007 hasta 2020, rechazó las declaraciones de Heber y contó que antes de implementar el pasaporte electrónico en 2015, le solicitaron al Banco Interamericano de Desarrollo (BID) y a la Organización de los Estados Americanos (OEA) una auditoría, que derivó en un informe que "en ningún momento habla de que no se podía implementar el nuevo pasaporte con chip porque las computadoras fueran obsoletas”. 

La auditoría trataba "sobre seguridad del documento y las seguridades en la tramitación del pasaporte anterior". Con el objetivo de "ver cómo estábamos posicionados para emitir el nuevo pasaporte electrónico”, explicó en Informativo Sarandí de Radio Sarandí.

"Hacen una revisión general de todos los procesos y luego emiten un informe", indicó Amato. En el informe "todo es mejorable" y le recomendaron a la DNIC "algún tipo de soluciones para el futuro y para la implementación del nuevo documento". "Que fuimos superando y fuimos realizando", aseguró Amato. 

"Pero en ningún momento habla de que no se podía implementar el nuevo pasaporte con chip porque las computadoras fueran obsoletas”, afirmó. 

Por otro lado, se preguntó si el hecho de 2020 "¿fue un hackeo o fue un virus?". "¿Estaban las licencias antivirus al día? ¿Estaban las licencias de Oracle renovadas? Oracle es un sistema de administración y gestión de la base de datos de los más importantes del mundo. Y era la que teníamos nosotros. No sé cuál hay hoy”, sostuvo Amato.

“Todo previmos que quedara por lo menos por un año para que las nuevas autoridades estuvieran tranquilas", aseguró.