El pasado 26 de septiembre un usuario con el nombre CFK publicó en RaidForums, un foro donde hackers suelen publicar y ofrecer para la venta información filtrada, un link para descargar gratuitamente 40 MB de la base de datos de Iosfa, la obra social de las fuerzas armadas y personal de seguridad.
La información incluía datos de los afiliados como nombre y apellido, estado civil, sexo, dirección, números de teléfono, correo electrónico, rango y parentesco de personal de todas las fuerzas: Aérea, Ejército, Armada, Prefectura, Gendarmería y Ministerio de Defensa.
Unos días después el organismo confirmó la filtración, pero asegurando que se trataba de una base de datos obsoleta. Un nuevo link para descargar esta información fue posteado por el mismo usuario este 13 de octubre al mediodía.
El pasado sábado 9 de octubre un misterioso usuario de Twitter difundió desde la cuenta @AnibalLeaks -ya desaparecida- una serie de fotos en alta resolución y cantidad de números de trámite correspondientes a los DNI de políticos, periodistas y otras figuras, como artistas y deportistas.
Entre los políticos figuraban Máximo Kirchner, Wado de Pedro, Santiago Cafiero, Miguel Ángel Pichetto, Oscar Parrilli, María Eugenia Vidal, Horacio Larreta y Patricia Bullrich. Aníbal Fernandez publicaba, además, su número de teléfono celular. Entre los deportistas, las fotos de Lionel Messi y Sergio “Kun” Agüero. Tras las publicaciones, la cuenta @AnibalLeaks fue desactivada.
Al día siguiente, el mencionado forista CFK volvía a abrir un nuevo post en RaidForums, esta vez ofreciendo no para su descarga gratuita sino para la venta, la información de los más de 45 millones de registros que componen la base de datos del Registro Nacional de las Personas (Renaper), es decir, los DNI de todos los argentinos. Esta información incluye foto, nombre y apellido, dirección, número de trámite (“this is very important”, aclara en su publicación), tipo de documento, el código de barras que está en la parte posterior y todos los datos necesarios para crear un DNI falso o usurpar identidades. Para ejemplificar la autenticidad y validez de esta información, publicó los datos completos del documento del Presidente Alberto Fernández. ¿Son el forista CFK y el tuitero @AnibalLeaks la misma persona? Probablemente.
Esta nueva filtración se suma a una lista que comienza a hacerse cada vez más larga y compromete no solo información sensible de fuerzas de seguridad, sino que ahora involucra y pone en riesgo a ciudadanos particulares. El 27 de agosto de 2020, tras un ataque de ransomware, el Sicam -un sistema de la Dirección Nacional de Migraciones que registra los ingresos y egresos del país- quedó fuera de servicio.
Sus atacantes pidieron 4 millones de dólares a cambio de no divulgar la documentación, finalmente publicada en la deep web una semana después. En los casi 2 GB de información se encontraban desde datos personales de 27,723 argentinos repatriados durante la cuarentena hasta un documento de la Agencia Federal de Inteligencia membretado “Estrictamente Secreto y Confidencial”. Un ataque similar sufrió días después la Agencia Nacional de Seguridad Vial, también víctima de un ataque ransomware.
Pero los ciudadanos no sólo somos víctimas indirectas de los ciberdelincuentes, sino también de prácticas de seguridad informática al menos cuestionables desde el mismísimo Estado. Un buen ejemplo es la vulnerabilidad descubierta el año pasado en la app Mi Argentina por el investigador de seguridad cordobés Dan Borgogno, quien demostró en el evento de ciberseguridad EkoParty 2020 cómo dentro de la app se podía mostrar el DNI de cualquier persona o generar uno totalmente falso. Esta vulnerabilidad permitía acceder a datos del Renaper que deberían estar protegidos.
Volviendo a la filtración de la base de datos, desde el Renaper desmintieron que sus sistemas informáticos hayan sido vulnerados y apuntan a un uso indebido de las claves de usuario o a un robo de dichas credenciales, por lo que formalizaron una denuncia penal ante el Juzgado en lo Criminal y Correccional Federal N° 11.
Poco importa que se trate de un hackeo o un robo de información a partir del uso de credenciales válidas, ya que este hecho es uno más que se suma a una lista cada vez más larga en lo que respecta a la protección de los datos personales de los ciudadanos. Se necesitan niveles de incompetencia realmente destacables para llevar la inseguridad a niveles alarmantes no solo en el mundo real, sino también en el virtual. Esta vez encontraron la forma de poner en riesgo a todos y cada uno.