Ciberatacats
Entre el gener i el juny deu ajuntaments catalans han estat assaltats per ‘hackers’, segons dades de l’Agència de Ciberseguretat de Catalunya, el doble que tot el 2019
Un dels últims afectats ha estat el consistori de Guixers, a qui demanaven 75.000 euros per recuperar els seus arxius
El primer dia d’aquest curs escolar, el 14 de setembre, una de les administratives de l’Ajuntament de Guixers va veure amb sorpresa, al començar el seu torn, que no havia entrat cap correu electrònic nou i que no aconseguia descarregar els vells. Minuts després, es va adonar que tampoc podia accedir a cap carpeta ni arxiu. Aquest consistori del Solsonès havia estat víctima d’un ciberatac i així ho va constatar dotze hores després, quan a les vuit del vespre va rebre un mail en què se li reclamaven 75.000 euros per recuperar la informació. El segrest de dades i posterior petició de rescat gràcies al programari maliciós ransomware és un dels delictes digitals més estesos actualment, i el món local hi està especialment exposat. Entre el gener i el juny, deu ajuntaments han informat l’Agència de Ciberseguretat de Catalunya que han estat víctimes d’un ciberatac, gairebé el doble que tot l’any passat.
L’agència pública que a casa nostra treballa per garantir la seguretat de les xarxes i els sistemes d’informació ha detectat que la meitat dels ajuntaments catalans tenen implantades mesures de ciberseguretat bàsiques i la gran majoria tenen un nivell d’exposició a riscos entre mitjà i “crític”. Per això acaba de presentar un paquet d’eines de detecció, prevenció, formació i resposta ràpida contra possibles atacs específicament adreçat al món local. Hi invertirà 2,5 milions.
L’any passat, a Catalunya es van denunciar als Mossos d’Esquadra 477 ciberatacs, enfront els 423 del 2018. El primer semestre ja s’han registrat 280 casos. Com explica Albert Álvarez, cap de la unitat central de delictes informàtics dels Mossos, les dades no inclouen les estafes no denunciades o les que s’han portat directament als jutjats i entre les víctimes hi ha tant empreses i particulars com administracions públiques. De tota manera, el sotsinspector dels Mossos reflexiona que “en el cas dels ajuntaments són els més petits, els que tenen menys recursos per invertir en seguretat de la informació, els que són les víctimes ideals dels ciberatacs”. Hi ha, però, un altre motiu que fa que l’administració pública, al costat de les pimes i l’entorn sanitari, sigui un blanc prioritari: els consistoris presten a la població un servei que no poden deixar de donar, de manera que el bloqueig de dades els fa molt mal.
“Vam estar parats un mes ben bo, durant tres setmanes ni dormíem, tot l’equip d’informàtics va plantar la tenda de campanya a l’ajuntament i va estar treballant sense parar per restablir el sistema”, recorda Albert Robert, regidor d’Urbanisme i Noves Tecnologies de l’Ajuntament de Lloret de Mar. I això, destaca Robert, que ells van “estar de sort” perquè l’informàtic en cap viu al costat de l’ajuntament i quan va saber que estaven encriptant les dades de l’ajuntament, va anar corrents a desendollar físicament els ordinadors i això va permetre salvar la còpia de seguretat del mes anterior a l’atac. Lloret va ser víctima d’un ransomware molt agressiu –mutava– però en cap moment es va plantejar pagar el rescat. De fet, no sap quin import se li exigia. “Estava tot encriptat menys un fitxer en què ens deien que enviéssim un mail per saber el preu, però no ho vam fer perquè érem conscients que era entrar al seu joc”, reflexiona el regidor.
Temps és igual a diners
La policia catalana, com la resta de cossos de seguretat, recomanen no acceptar el xantatge perquè fent-ho es dona ales a aquest tipus de delictes i s’afavoreix el crim organitzat, però la decisió final és de cada afectat. De fet, aquests delictes estan augmentant perquè als hackers els és –molt– rendible. El 2017, quan no se’n parlava tant ni hi havia els recursos que hi ha ara, l’Ajuntament de Lles de Cerdanya va saber a través d’un mail escrit en anglès que li havien encriptat el sistema i que havia de seguir les següents instruccions si volia recuperar les dades: “Un bitcoin en 30 hores sense cap pregunta estúpida ni desxifrat de proves.” Si pagaven més tard, el preu anava pujant. “Temps=diners”, eren alertats. Van decidir pagar i ho van fer a temps, de manera que els va costar un bitcoin de l’època, que fa dos anys valia 2.101 euros. “Saps que fas una cosa que està malament, però no teníem alternativa, llavors no hi havia tanta informació i per a nosaltres va ser molt fort, perquè eren les dades no nostres sinó de la gent del poble i de molts anys: registre civil, temes urbanístics, comptes bancaris...”, justifica Montserrat Grau, administrativa del consistori. Grau reflexiona: “Mai penses que et pugui tocar a un municipi de 316 habitants”, però el fet és que els ciberatacs poden afectar tothom perquè hi ha campanyes dirigides a una única entitat o persona que té solvència per pagar un gran rescat, però els hackers molts cops es financen amb campanyes de pirateig massives.
Segons l’Agència de Ciberseguretat de Catalunya, entre el 2019 i el primer semestre del 2020, més del 50% dels atacs informàtics a ajuntaments han impactat en consistoris de pobles de menys de 20.000 habitants. Per Xavier Salleras, investigador del grup de recerca Wireless and Secure Communications de la UPF, un dels grans problemes és que no ens adonem que tot està connectat i que hi ha moltes escletxes per on es pot fer miques la seguretat del sistema. Per posar només un exemple, “gràcies a l’internet de les coses, els ajuntaments connecten a la xarxa dispositius com ara sensors de qualitat de l’aire o semàfors, però si no vigilen la seva seguretat, fins i tot persones sense coneixements informàtics poden fer una cerca a internet i accedir sense gaire dificultats a aquests dispositius”.
Els ajuntaments que ja han estat ciberatacats han reforçat els seus sistemes per minimitzar riscos. “Nosaltres vam poder salvar gairebé tota la informació gràcies a les còpies de seguretat però després de l’atac hem instal·lat un tallafocs addicional i hem extremat les precaucions”, indica l’alcalde de Guixers, Jordi Selga. A Lloret van haver de canviar tot el sistema i van aprofitar per canviar l’antivirus, que ara detecta si un programa està fent una funció que no és la seva. “Des de llavors hem rebut més intents d’atac però el nou antivirus ho detecta, el bloqueja i salta l’alarma, ja ha passat en dues o tres ocasions”, indica el regidor de Noves Tecnologies del municipi de la Selva.
La baula més feble
Tant els experts com els afectats, però, destaquen que paral·lelament a la inversió en programes i antivirus potents, és bàsic formar tota la plantilla. L’octubre de l’any passat, al consistori de Vilafranca del Penedès li demanaven 107 bitcoins (800.000 euros al canvi) per recuperar les dades. “Un parell de mesos abans havien instal·lat un nou sistema de tallafocs, molt fort, però sempre entren per la porta petita, buscant la baula més feble de la cadena”, reflexiona Domènec Martínez, cap de sistemes d’informació i noves tecnologies de l’Ajuntament de Vilafranca. I és que, com en molts altres casos, el virus va arribar a través d’un mail que va rebre un dels treballadors. Per sort, a Vilafranca no només tenien còpies de seguretat en el sistema sinó a fora, en cintes guardades en caixes ignífugues. Segons Martínez, “això demostra que els sistemes de contingència funcionen”.
LES XIFRES
LES FRASES
Suplantacions d’identitat
El ransomware és el que està de moda, però hi ha molts altres virus i delictes informàtics que estan a l’ordre del dia i que afecten el món local. L’any passat, l’Empresa Municipal de Transports de València va ser estafada amb el “frau del fals CEO”. En aquell cas, es va suplantar la identitat d’un proveïdor i va aconseguir que la companyia pública perdés quatre milions.
A Catalunya també hi ha molts casos de suplantació d’identitat. A l’Ajuntament de Tremp li va passar l’any passat: els seus contactes van rebre mails de les bústies del consistori que no havien enviat els treballadors. Ho van aturar i, com explica la informàtica Carme Badia, encara van insistir més en la prevenció. “Hi ha d’haver uns requisits mínims de seguretat i tallafocs però per molt mur que hi hagi, algú entrarà per un dels 10.000 llocs possibles perquè tot està connectat, així que la formació dels empleats és la millor arma.”