La Generalitat sufre un fallo de seguridad online: 5.000 usuarios expuestos

En este año maldito del Coronavirus, se están registrando muchos más hackeos y ataques informáticos que en otros anteriores. Los cibercriminales aprovechan la situación actual de incertidumbre, la masiva afluencia en el Teletrabajo y cualquier mínimo fallo o resquicio en un programa de seguridad, exactamente lo que le ha pasado a la Generalitat de Cataluña.

Vulnerabilidad en tres webs de la Generalitat

Adelantado por medios como Vozpópuli y confirmado directamente a otros, la Generalitat de Cataluña estaba exponiendo vía tres de las páginas web del Govern catalán los datos privados de miles de usuarios. Y todo por un fallo de seguridad informática en forma de vulnerabilidad. Una vulnerabilidad que ha dejado expuestos hasta 5.000 correos electrónicos y contraseñas de usuarios que se habían dado de alta en aplicaciones del Govern.

Detectada la semana pasada, nadie sabe cuánto tiempo llevaba la vulnerabilidad exponiendo estos datos, pero podría haber sido durante meses o incluso años. El pasado 19 de noviembre fueron puestas ‘offline’ las tres 3 webs afectadas para subsanar el problema, y los responsables de protección de datos contactaron con todos los departamentos afectados. Pero, ¿alguien ha usado esos datos expuestos?

¿Incidente de Ciberseguridad?

Una vulnerabilidad se puede aprovechar, de hecho los cibercriminales a veces no tienen que hackear, sino sólo aprovechar los ‘exploits’ o agujeros de seguridad de los servicios, apps o plataformas que desean robar. La Generalitat investiga ahora mismo si esos datos de 5.000 usuarios han sido robados y se están usando para hackearles, y “a fecha de hoy, no podemos concluir que la existencia de esta vulnerabilidad ha comportado un incidente de ciberseguridad”.

Pero, ¿qué ha pasado exactamente? Según la compañía experta en ciberseguridad Avast, se trata de un fallo de seguridad SQL Injection sobre el que se está llevando a cabo una investigación. Como señala Luis Corrons, ‘Security Evangelist’ de Avast, los ataques de inyección SQL son bastante comunes, y "han sido utilizados en muchos ataques a lo largo de los años. Empresas como Sony, Yahoo o LinkedIn han sido víctimas de este tipo de ataques.

Para prevenirlos, además de tomar medidas de seguridad, al configurar y programar las bases de datos, es fundamental realizar auditorías periódicas de la seguridad de los sistemas informáticos (y eso incluye sitios web, bases de datos, etc.) De esta forma, se pueden encontrar -y arreglar- los focos de fallos y debilidades antes de que se produzca un ataque real.

Un ataque de inyección SQL puede sólo dar acceso a ciertos registros, o en el peor de los casos puede llevar a un compromiso total del sistema donde se encuentra la base de datos. Lo bueno del caso de la Generalitat es que fue un investigador de seguridad quien encontró el problema e informó sobre el asunto”.