Tant el Govern com la CASS -més enllà d’un enrevessat comunicat que suposadament pretenia demanar tranquil·litat sense aclarir en veritat massa res- mantenen un sepulcral silenci conscients de l’escàndol que suposa que uns ciberdelinqüents t’hagin entrat fins a la cuina de la Seguretat Social i hores d’ara no sàpigues quants coberts, plats, gots i el que faci falta s’han endut. Ben ‘jugada’, la informació sostreta, les dades, poden ser molt llamineres per molt que, segons fonts properes a l’Agència de Ciberseguretat, no s’hagin robat dades crítiques.
Però que li ho expliquin a les empreses a les quals, per exemple, els seus IBANs poden haver quedat al descobert. O les remuneracions que perceben centenars, potser milers d’assalariats. El perímetre de l’escàndol és una de les coses que es mira de saber. “S’està analitzant tot plegat. Ara seria precipitat fer res que no sigui protegir i entendre”, han assegurat fonts properes al ministeri de Salut donant per fet que, per ara, no hi ha cap decisió dràstica presa. “Amb tota la informació sobre la taula i la sang freda necessària es podran prendre decisions”, han assegurat les mateixes fonts.
És a dir, ara per ara no hi ha cap assumpció de responsabilitat. Almenys no que hagi transcendit. I tampoc no han transcendit les mesures tendents a restablir la seguretat que s’hagin pogut adoptar. La CASS enviat un comunicat de premsa i una ‘newsletter’ a tots els afiliats i cotitzants. D’aquesta manera s’assegura haver informat, a vistes de la llei, de la incidència de què ha estat objecte. Però no sap, aparentment, qui està afectat i qui no.
EL FET
Més enllà del comunicat emès per la CASS, el que cal entendre és que algú ha fet servir certificats digitals propis -que fa pocs dies la direcció de la parapública va anunciar que aniran substituint-se per certificats de Govern- robats a empreses per entrar al portal de la CASS. Un cop dins, els ciberlladres haurien aprofitat una eina que les empreses fan servir per comprovar el NIA d’una persona abans de donar-la d’alta. Els delinqüents haurien provat molts números fins que el portal li va retornar les dades de les persones amb un NIA vàlid.
Aparentment estem davant un robatori de dades que no sembla producte de grans tècnics si no, més aviat, d’espavilats que s’han aprofitat d’un sistema vetust i ple de forats
Primer dubte no resolt: amb la de volum de gestors de declarants a la CASS, hi ha moltes persones que podrien anar jugant a aconseguir el NIA i tot de dades com haurien fet aquests teòrics delinqüents. Això evidencia, segons diversos experts consultats, que hi ha una plataforma tecnològica a la CASS pràcticament obsoleta i una estructura de seguretat digital altament vulnerable. Amb múltiples forats. Perquè per flexibilitzar la gestió dels declarants, dels empresaris, ha quedat clar que es van haver de rebaixar els nivells de seguretat.
Tot està en revisió. Però és evident que la inversió en tecnologia és extremadament baixa en comparació amb les necessitats reals. Les proves d’intrusió que es fan a la CASS i, en general, al sector públic enfront del sector privat, i especialment dels bancs, són irrisòries. I caldrà veure el perímetre afectat, ja s’ha dit, per poder saber exactament l’abast del desastre partint de la base que s’està davant d’un dels incidents tecnològics més greus de sempre. Per molt que es vulgui minimitzar. Només la possibilitat que els delinqüents no hagin accedit a molts arxius podria salvar l’escàndol. Matisar-lo, vaja.
Sortosament, de dades sanitàries no n’hi hauria cap de compromesa. Però d’econòmica i personal, moltíssimes. Amb tot, per exemple, la llei impedeix que l’Agència de Protecció de Dades imposi cap sanció a la CASS. Es pot entendre en el sentit que, al final, penalitzes l’administrat, que indirectament ha de contribuir a abonar la multa. Però és que ni Protecció de Dades ni Ciberseguretat ni ningú pot exigir o imposar responsabilitats. L’APDA només podrà emetre una amonestació.
Hores d’ara no se sap -és a dir, la CASS no ha comunicat formalment- quina va ser la primera empresa compromesa a partir de la qual s’han anat fent intrusions il·legítimes. La parapública sí que té clar, però no s’ha comunicat per ara malgrat que l’Altaveu ho ha demanat igual com ha fet altres preguntes formalment que han quedat sense resposta, com ha aconseguit descobrir el robatori de dades.
Més enllà de saber a quines empreses ha afectat, quin és l’abast i el nivell de desprotecció en què queden o han quedat els administrats i, en el futur, les dades robades quants nous atacs poden comportar, també toca saber si hi havia empreses externes que contribuïssin a la seguretat suposada de la CASS i el seu servei, si fos el cas, també hagi quedat esmicolat per un robatori de dades que no sembla producte de grans tècnics si no, més aviat, d’espavilats que s’han aprofitat d’un sistema vetust i ple de forats.