Morelia, Michoacán (OEM-Infomex).- Sin protocolos ni medidas de prevención, los gobiernos de Michoacán están a expensas de ataques cibernéticos que no solo ponen en peligro el funcionamiento de sus administraciones, sino que vulneran bases de datos con información sensible y datos personales de los contribuyentes.
El capítulo más notorio ocurrió en agosto del año pasado, cuando el ayuntamiento de Morelia sufrió un hackeo que encriptó toda la información almacenada en sus computadoras, luego de lo cual se pidió una recompensa en Bitcoins. La embestida de los llamados “piratas” originó problemas en la entrega-recepción entre la administración saliente de Humberto Arróniz y la entrante de Alfonso Martínez Alcázar.
Te puede interesar: Sin resolver, hackeo a WhatsApp de Ramírez Bedolla
En entrevista, la regidora Minerva Bautista Gómez refiere que el daño incidió sobre todo en datos de cuentas de ingresos y egresos, por lo que personal de diferentes áreas tuvo que rescatarlos “prácticamente a mano para poder tener la información y respaldarla de diferentes formas”. Además, se impidió la presentación de los informes trimestrales de los periodos julio-septiembre y octubre-diciembre del ejercicio fiscal 2021.
Una resolución administrativa fechada el 5 de enero de 2022 por el Instituto Michoacano de Transparencia, Acceso a la Información y Protección de Datos Personales (expediente IMAIP/VERIFICACIÓN/DP/05/2021) concluye que “existió vulneración a los datos personales de quienes por diversos motivos han proporcionado información que se considera de carácter personal a las diferentes dependencias del ayuntamiento”.
Una fuente al interior del propio gobierno de Morelia pudo confirmar a este semanario que los avances en las investigaciones a cargo de la Fiscalía General del Estado (FGE) revelan la compra de un software por empleados de la anterior administración, con el cual se habría orquestado el hackeo, mismo que contó con la participación de usuarios ubicados en Rusia. “Todo indica que hubo complicidad, pero no queremos adelantar conclusiones hasta que la autoridad lo haga”, señaló el testimonio.
De acuerdo a actas de Cabildo disponibles en las gacetas del ayuntamiento, lo que la FGE informó a través de su policía cibernética (caso 1003202132010 y número de expediente MOR/053/34349/2021) es que hubo una infección mediante ransomware k2 a servidores y sistemas, por lo que la información contenida en ellos quedó encriptada, impidiendo el acceso a información financiera, presupuestaria y contable.
Contratan proveedor y ocultan detalles
Para evitar que el ataque se repitiera, el actual cabildo aprobó el 17 de febrero pasado la puesta en marcha de un programa de madurez en ciberseguridad, cuya empresa a cargo fue contratada de forma directa, sin licitación de por medio. Sin embargo, el nombre de la firma elegida y el monto del convenio permanecen en la opacidad.
Hasta el cierre de esta edición, el titular de la Tesorería del ayuntamiento, Héctor Gómez Trujillo, se negó a proporcionar los datos respectivos, aduciendo que el trámite se realizó antes de que él tomara el cargo, el 28 de febrero pasado.
La misma Bautista Gómez aceptó desconocer a quién se le asignó la tarea de blindar la seguridad digital del gobierno moreliano, prometiendo que aparecerá en la cuenta pública “porque debe ser transparente para los ciudadanos”.
Celular de gobernador, clonado
El gobierno del estado también ha sido víctima de infecciones cibernéticas con propósitos lucrativos. Los ataques han llegado incluso al teléfono celular del mandatario Alfredo Ramírez Bedolla, quien el 26 de marzo dio a conocer el intento de hackeo en su cuenta de WhatsApp, hecho que volvió a ocurrir el 28 de mayo, pero ahora también en su red de Telegram, desde la cual se habría pedido dinero prestado a algunos de sus contactos, incluidos periodistas. Ambos casos fueron turnados a la FGE, pero hasta hoy no hay ningún informe de los avances.
Otra de las prácticas comunes es la creación de cuentas apócrifas en redes sociales, como le ocurrió al secretario de Finanzas, Luis Navarro García, en diciembre del año pasado. Los presuntos delincuentes buscaban extorsionar a funcionarios estatales y municipales haciéndoles creer que era necesario realizar pagos extraordinarios a cuentas bancarias privadas, utilizando para ello un perfil falso en Facebook. Algo similar le ocurrió al rector de la Universidad Michoacana de San Nicolás de Hidalgo (UMNSH) Raúl Cárdenas Navarro, quien el 21 de abril denunció que circulaba una cuenta clonada en Facebook, por lo que solicitó al público en general no caer en estafas ni extorsiones.
Millones de ataques diarios
Las amenazas cibernéticas son una constante en México, país que encabeza en América Latina el número de ataques de este tipo, seguido por Brasil. En los primeros seis meses de este año, el país sufrió 85 mil millones de intentos de ciberataques, los cuales son más de la mitad de los 120 mil millones registrados durante todo el 2021, de acuerdo con datos de la firma mexicana de ciberseguridad Silikn.
El periodo de pandemia ha sido un factor clave para que los delincuentes cibernéticos incrementen sus acciones. En 2019 se registraron 300.3 millones de amenazas, pero el número se disparó a 120 mil millones en 2021, casi 400 veces más.
La empresa Avast elaboró en 2021 un mapa mundial sobre el riesgo cibernético de hogares y negocios. En ese tenor, Michoacán figura con un 26 por ciento de probabilidades en casas y 19 por ciento en firmas comerciales. En el primer caso los puntos más altos son del 35 por ciento, con alertas máximas en estados como Campeche y Tabasco, mientras que en los negocios hay más vulnerabilidad en Aguascalientes, Baja California Sur y Zacatecas.
No hay protocolos ni prevención: especialista
El doctor en Ciencias de la Computación, Juan Manuel García, dice en entrevista que los ataques cibernéticos son cada vez mayores en el país y al menos en el gobierno estatal y el ayuntamiento de Morelia no existen protocolos ni mecanismos para evitarlos.
El también catedrático del Tecnológico Nacional de México campus Morelia acepta que en las esferas gubernamentales no suele existir la capacitación suficiente para proteger los canales de comunicación digital, “y ni siquiera se cuenta con un organismo que se encargue puntualmente de la bioseguridad, como sí ocurre, por ejemplo, en España. No tenemos la prevención de los ataques, y cuando ocurren, las instituciones no saben cómo responder”.
En lo que se refiere al gobierno local, García subraya que no se implementan programas de seguridad digital a largo plazo, sino que con cada cambio de administración vienen nuevas contrataciones y se arranca desde cero. “Hasta hoy, los únicos esfuerzos cristalizados son los punitivos a través de policías cibernéticos coordinados por las fiscalías, ya sea la federal o las estatales. Incluso, recientemente la Guardia Nacional asumió tareas de seguridad cibernética, pero es algo en lo que apenas se van empapando”.
En el caso del hackeo al ayuntamiento de Morelia, no había un protocolo de reacción y ni siquiera expertos detectados con anterioridad para resolver el problema, lo que originó la búsqueda improvisada en los días subsiguientes. “Un incidente de ese tipo debe tener repercusiones legales, de índole penal, pero hasta hoy no hemos sabido quiénes fueron los responsables, hay total impunidad”.
La vulnerabilidad aumentará con la pretensión estatal de avanzar a un gobierno digital, señala García, por lo que urge a que se profesionalicen las áreas y se construyan indicadores de riesgos, toda vez que habrá “enormes flujos de datos personales”.
En cuanto a la seguridad de los canales de comunicación de los funcionarios, afirma que deberían tener una asesoría más adecuada en esa materia. “Tienen que utilizar un teléfono con medidas de seguridad doblemente reforzadas, pero también un aparato distinto al personal, es lo más recomendable. Los teléfonos convencionales que usamos los ciudadanos son altamente vulnerables, pero los gobernantes pueden esforzarse por tecnologías con mayores candados por la naturaleza de su puesto”, concluye.