El Centro Criptológico Nacional (CCN-Cert), órgano del Centro Nacional de Inteligencia encargado de desentrañar las ciberamenazas en España, investigó el alcance de un fallo de seguridad de la Generalitat de Cataluña. Una brecha -desvelada por Vozpópuli- que expuso al menos 5.000 registros con correos electrónicos y otros datos sensibles en varias de sus páginas web.
El episodio tuvo lugar el pasado mes de noviembre. Como adelantó este diario, la Generalitat sufrió un fallo de seguridad en varias de sus páginas web que le hacía vulnerable a ataques mediante inyección SQL. La brecha se registra al desarrollar un servicio web o aplicación sin tener en cuenta las pertinentes medidas de seguridad, lo que permite a los cibercriminales acceder al contenido de bases de datos con información que debería ser confidencial.
Al menos tres páginas vinculadas a diferentes departamentos catalanes sufrieron dicha vulnerabilidad, lo que supuso una exposición prolongada de miles de datos sensibles. La Generalitat de Cataluña despublicó todas las webs afectadas. También rechazó que ninguna de ellas representase un "sistema crítico" en sus sistemas.
Pregunta parlamentaria
El grupo parlamentario Vox requirió más información sobre este fallo en una pregunta parlamentaria remitida al Gobierno. El Ejecutivo, en respuesta escrita, informa de que el CCN-Cert investigó el alcance del fallo de ciberseguridad, y que lo hizo tras recibir una comunicación de la Agencia de Ciberseguridad de Cataluña.
El protocolo de actuación frente a estas brechas de seguridad queda recogido en el Esquema Nacional de Seguridad. Los artículos 36 y 37 estipulan que todos los órganos de la administración, ya sean locales, nacionales o autonómicos, deben informar a este órgano del CNI en caso de detectar fallos de peligrosidad alta o muy alta. A partir de ahí se abren las pertinentes diligencias para determinar el alcance de la amenaza.
Uno de los medios más empleados
La investigación del CCN-Cert, según la respuesta facilitada por el Gobierno, concluye que el fallo de seguridad "no supone una amenaza para la Seguridad Nacional", tal y como preguntaban desde el grupo parlamentario Vox. Sin embargo, su clasificación de riesgo sí que era elevada, por lo que se activó el protocolo recogido en el Esquema Nacional de Seguridad.
El Centro Criptológico Nacional detalla en su Informe Ciberamenazas y Tendencias: Edición 2020 que los ataques mediante inyección SQL suponen una de las herramientas más utilizadas por los cibercriminales en sus ataques a páginas web. El documento detalla que esta es una de las técnicas que diversas identidades ligadas a ideologías independentistas emplearon en el marco de la #OpCatalunya para perpetrar sus ciberataques.
