La mensaje del supuesto ataque a la Agencia Tributaria (AEAT) por el asociación de hackers conocido como Trinity ha generado una alerta sin precedentes en España. En presencia de la posibilidad de que 560 GB de datos de los contribuyentes obren en manos de criminales que amenazan con exponer dicha información, los españoles debemos contemplar la posibilidad de tener que hacer frente, durante los próximos meses, a descomunal 'esplendor' de los timos y de la ingeniería social.
¡QUE NO TE ENGAÑEN! Los principales TIMOS en COMPRAS ONLINE y CÓMO EVITARLOS
¿Qué sabemos del ataque?
El asociación de cibercriminales Trinity, que ya cuenta con todo un historial de ataques a nivel internacional, asegura ocurrir rematado un camino masivo a los sistemas de la AEAT. Según su modus operandi habitual, habrían utilizado un ransomware que primero exfiltra datos y luego emblema los sistemas comprometidos, dejando inutilizables los archivos sin la esencia correspondiente.
En esta ocasión, el asociación afirma ocurrir secuestrado 560 GB de información crítica, aunque la Agencia Tributaria niega ocurrir detectado algún incidente en sus sistemas, según sus declaraciones públicas (poco que varios medios españoles insisten en contradecir citando fuentes internas). Entre los posibles vectores de camino al sistema, los expertos en ciberseguridad señalan dos hipótesis principales:
- A través de la red 'Sara': Una infraestructura de comunicaciones que conecta a diversas instituciones públicas. Aunque la AEAT tiene medidas para mantenerse aislada de esta red, el historial de vulnerabilidades en otras entidades relacionadas con Sara sugiere que podría ocurrir sido utilizada como pasarela para aceptar a la Agencia Tributaria.
- Un ataque interno o 'insider': La billete de un agente interno o el uso de credenciales comprometidas de un empleado es una posibilidad que, según algunos especialistas, explicaría la magnitud del ataque.
Si las afirmaciones del asociación Trinity se confirman, el impacto de esta filtración podría ser uno de los más graves en la historia nuevo de la ciberseguridad en España
El impacto potencial de la filtración
El ataque a la agencia de crédito estadounidense Equifax, en 2017, dejó expuestos los datos de 150 millones de contribuyentes en varios países, y las consecuencias fueron devastadoras: los datos robados todavía están siendo utilizados para fraudes y suplantaciones, primaveras posteriormente del incidente.
La Agencia Tributaria maneja información que no sólo es sensible, sino todavía crítica para la seguridad económica y personal de millones de ciudadanos y empresas. Una filtración de esta magnitud podría desencadenar múltiples problemas en diversas áreas:
1) Trastorno y chantaje a gran escalera
Los datos exfiltrados podrían incluir:
- Declaraciones de la renta.
- Información bancaria y patrimonial.
- Movimientos financieros detallados.
- Datos personales como direcciones, números de identificación fiscal, y contactos.
Con esta información, los atacantes podrían contactar directamente a ciudadanos y empresas, amenazando con exponer su situación fiscal, irregularidades tributarias reales o supuestas, o cualquier otra información que pueda ser utilizada para extorsionarlos. Esto abre la puerta a un maniquí de perjuicio masiva, donde cada contribuyente se convierta en un objetivo potencial.
2) Fraude financiero y robo de identidades
El camino a datos fiscales y bancarios convierte a los ciudadanos en blanco ligera para fraudes financieros. Algunas de las posibles consecuencias incluyen:
- Préstamos y créditos fraudulentos: Los atacantes podrían utilizar la información para solicitar créditos o realizar compras en nombre de las víctimas.
- Ataque a cuentas bancarias: Si las credenciales de camino o datos financieros estuvieran comprometidos, podrían pincharse cuentas o realizar transacciones ilícitas.
- Robo de identidad: Con nombres, direcciones, documentos de identificación y datos fiscales, los delincuentes podrían suplantar la identidad de las víctimas para múltiples propósitos, desde desplegar cuentas hasta realizar estafas a terceros.
3) Uso en actividades delictivas y cibercrimen organizado
Los datos robados podrían ser vendidos en el mercado bruno a otros actores maliciosos, fomentando:
- Nuevos ciberataques: Los datos podrían ser utilizados para ataques más específicos, como spear phishing o campañas dirigidas a sectores esencia.
- Espionaje industrial o político: Las grandes bases de datos fiscales todavía pueden contener información de figuras públicas, políticos, o empresas estratégicas, convirtiéndose en un armamento para el espionaje o la manipulación.
- Comercialización masiva en la dark web: Los datos exfiltrados podrían convertirse en un producto codiciado para delincuentes a nivel general, alimentando un mercado ilegal que ya genera miles de millones de euros anualmente.
4) Consecuencias legales y regulatorias
Una filtración de esta magnitud podría tener implicaciones legales significativas tanto para la AEAT como para otras entidades públicas relacionadas:
- Multas por incumplimiento del GDPR (Reglamento Universal de Protección de Datos): Si se demuestra que la AEAT no adoptó medidas suficientes para proteger los datos personales, podría desavenir sanciones millonarias. (Pero, como 'Hacienda somos todos', una multa de ese tipo sólo supondrá que el Estado se pague a sí mismo con nuestro cuartos).
- Demandas colectivas: Ciudadanos y empresas afectadas podrían iniciar acciones legales para exigir compensaciones por el daño causado.
- Revisión de protocolos de seguridad nacionales: Este incidente podría motivar una reestructuración genérico de las políticas de ciberseguridad en todas las administraciones públicas, lo que implicaría inversiones significativas y posibles interrupciones de servicios.
El rol del ciudadano: acogerse delante posibles consecuencias
En presencia de un ataque de esta magnitud, es crucial que los ciudadanos adopten medidas proactivas para acogerse de las posibles consecuencias de la filtración de sus datos personales. Aunque no se puede evitar el camino original de los ciberdelincuentes a la información comprometida, existen varias estrategias para intentar minimizar el impacto y predisponer un uso indebido de esos datos. A continuación, se detalla un conjunto de acciones que los ciudadanos pueden implementar:
Monitorización de cuentas y actividades financieras
Una de las principales amenazas de una filtración de datos fiscales es la posibilidad de fraude financiero. Para acogerse:
- Revisar regularmente extractos bancarios y de tarjetas de crédito: Identificar transacciones sospechosas y reportarlas inmediatamente a la entidad financiera.
- Configurar alertas de actividad: Muchos bancos permiten activar notificaciones automáticas para movimientos inusuales en las cuentas.
- Controlar el historial crediticio: Solicitar informes de crédito a agencias especializadas para detectar la comprensión no autorizada de cuentas o solicitudes de préstamos.
Proteger datos personales
Los datos filtrados pueden allanar campañas de suplantación de identidad. Para resumir los riesgos:
- Ser cauteloso con la información que se comparte en redes sociales: Evitar informar datos personales que puedan cruzarse con la información filtrada, como direcciones o fechas de partida.
- Demostrar comunicaciones oficiales: En caso de percibir correos, llamadas o mensajes que aparenten ser de la Agencia Tributaria u otra institución, confirmar su autenticidad directamente a través de los canales oficiales.
Hacer rápidamente en caso de exposición
Si un ciudadano sospecha que sus datos han sido comprometidos o utilizados de guisa indebida, es optimista que actúe con celeridad:
- Denunciar fraudes: Informar inmediatamente a las autoridades competentes (Policía, Patrulla Civil o INCIBE en España) cualquier actividad sospechosa o intento de suplantación.
- Incomunicar cuentas comprometidas: Contactar con bancos, plataformas digitales o instituciones fiscales para congelar o recuperar el camino.
- Solicitar el derecho al olvido: Si los datos filtrados están publicados en Internet, solicitar su asesinato a través de los mecanismos legales disponibles, como la Ley de Protección de Datos.
En Genbeta | Cómo denunciar fraudes en Internet y ciberestafas
