Feia entre sis i vuit setmanes que ja s’havia notat un intent de fer el mateix i en aquella ocasió es va poder aturar. En aquesta ocasió, però, no ha estat el cas i s’ha hagut de fer les comunicacions pertinents, tant a nivell institucional i a mode de denúncia com als afiliats i persones, físiques i jurídiques, que tenen relació amb la CASS. Per si eventualment les seves dades realment haguessin quedat exposades i en el futur més que no pas ara són víctimes, principalment, de noves campanyes de robatori de dades. D’episodis de ‘phishing’.
SENSE BASES ‘DANYADES’
Tal i com ja va esmentar en el comunicat públic i la comunicació enviada als afiliats, les fonts consultades de l’entorn de la CASS han assegurat que els responsables de la parapública van exposar des del primer moment que havia de “quedar clar que no s’ha accedit a cap base de dades de la CASS ni s’ha posat en risc cap dada sanitària ni de prestacions”. Això sí, els atacants van poder obtenir un ‘diccionari’ amb dades com el NIA, nom i cognoms i data i lloc de naixement de desenes, centenars, segurament milers de persones amb relació amb la Seguretat Social andorrana.
I aquesta informació, especialment per la combinació de les dades obtingudes, podria ser utilitzada en intents posteriors d’accés no autoritzat a altres sistemes, atès que es tracta de dades que els particulars poden incorporar a contrasenyes o ser emprades en sistemes d’identificació. De moment, l’impacte o la primera empresa a la qual es van vulnerar les credencials i això va permetre la intrusió, per dir-ho així, en cadena, no haurien estat revelades, per exemple, a l’Agència de Protecció de Dades, una de les institucions que ha estat informada oficialment de l’incident de seguretat digital.
QUÈ VA PASSAR
El sinistre de ciberseguretat es va esdevenir a causa de la sostracció a una empresa del seu certificat. Aquest certificat digital de la CASS ha estat utilitzat per tercers no autoritzats per accedir a la seva àrea privada del portal d’empreses de la CASS. Ja dins del seu portal, segons fonts coneixedores de l’operativa delictiva, els atacants van poder efectuar consultes en introduir el número d’identificació administrativa (NIA), que retorna automàticament el nom, els cognoms i la data de naixement de la persona associada.
Aquesta informació, segons les fonts, està disposada d’aquesta manera per poder facilitar la feina a les empreses de comprovar que quan dona d'alta a un nou assalariat, el número de la CASS que tenen coincideix amb el nom de la persona. Aprofitant aquesta funcionalitat els atacants han anat provant múltiples combinacions de sis números i una lletra fins aconseguir identificar un nombre elevat de NIA vàlids i obtenir les dades personals associades. Les primeres estimacions de la CASS són que els ‘lladres de dades’ van fer més d’1,2 milions de consultes i van coincidir amb un número real en més de 400.000 casos.
MESURES ADOPTADES
Com s’ha dit, la intrusió es va descobrir dimecres i es va fer pública l’endemà, encara que pel mig ja es van fer comunicacions i es van adoptar mesures. Algunes d’aquestes actuacions de protecció, segons que ha pogut saber l’Altaveu, van ser, per exemple i com a mesura immediata de contenció, modificar la funcionalitat afectada per evitar que es continuessin exposant dades personals. El servei es va mantenir operatiu, sempre s’ha mantingut operatiu, però ja no retorna el nom, els cognoms ni la data de naixement associats al NIA.
La CASS ja assumeix que amb aquesta mesura hi haurà alguna empresa que es queixarà, però de comú acord entre tècnics i responsables generals de la parapública es va preferir eliminar aquesta funcionalitat. També es va procedir a bloquejar el número màxim de vegades que pots posar una contrasenya quan s'intenta entrar a la CASS amb un codi PIN. I, com s’ha dit, es van fer les pertinents comunicacions i denúncies policials. Per mirar de trobar els ‘lladres de dades’. Però com sol ser molt habitual, a l’hora de buscar-los, el més probable és que el més calent sigui a l’aigüera.