Un ciberataque ruso deja al CSIC sin conexión a internet durante dos semanas

Según ha relatado el ministerio, el ciberataque se detectó el día 18 de julio e "inmediatamente se activó el protocolo marcado por el Centro de Operaciones de Ciberseguridad (COCS) y el Centro Criptológico Nacional (CCN)". Entre las medidas adoptadas estaba la desconexión de toda la red, una situación que aún perdura para la mayoría de los centros, que tienen que conectarse a través de sus líneas personales para poder seguir trabajando.

«Desde la semana pasada, tras un ataque informático menor y localizado, las autoridades españolas de ciberseguridad decidieron desconectar 'sine die' de internet a todo el CSIC», denunciaba en este periódico Pablo Chacón Montes, investigador del organismo. «Vergonzoso, el principal agente de investigación es inoperante y a nadie le importa». Chacón señalaba un «evidente fallo de previsión y la falta absoluta de una mínima evaluación de daños», además de consecuencias como el retraso de las investigaciones, comunicaciones cortadas o la administración bloqueada.

Otros investigadores también denunciaron a través de las redes sociales la situación:

Y algunos apuntaron a un «problema estructural» en los sistemas de respuesta ante este tipo de problemática.

"Entendemos que un ataque de ransomware es algo complicado que puede tardar tiempo en resolverse -explica a ABC el propio David Arroyo Guardeño, investigador en ciberseguridad en el Instituto de Tecnologías Físicas y de la Información del CSIC.-, pero el problema aquí es que hacen falta protocolos que, de momento, no existen". Precisamente el 18 de julio, Arroyo tenía que preparar una entrega importante para el 31 de julio, pero la red se cayó sin previo aviso a causa del cortafuegos que se activó para tratar de contener los daños. "Avisé al responsable de red de mi grupo, pero solo me dijo que, en efecto, no había", cuenta. Como experto en ciberseguridad, pudo recurrir a otras fuentes para enterarse de que se trataba de un ataque tipo ransomware, una modalidad por la que los ciberdelincuentes encriptan parte de la información del organismo o la empresa atacada con el objetivo de pedir un rescate a cambio de liberar los datos.

Sin embargo, desde el ministerio no se señala nada al respecto de un posible pago a los ciberdelincuentes, tan solo que este ataque "es similar al que han sufrido otros centros de investigación como el Instituto Max Planck o la Administración Nacional de Aeronáutica y del Espacio de los Estados Unidos (NASA)". "La situación de España no se puede comparar con organismos como los estadounidenses, donde un ataque a la investigación de este tipo directamente pasa a ser un asunto de seguridad nacional".

Aún así, Arroyo Guardeño recalca que este parón ya está haciendo mucho daño a los investigadores del CSIC. "Yo llevo dos semanas parado, lo que va a afectar a mi planificación anual. De mí dependen otros seis investigadores que, de no salir adelante nuestro trabajo, se quedarán en la calle en enero. Está paralizado el trabajo de años".

Aunque desde el Gobierno aseguran que "a falta del informe final de la investigación (...) hasta la fecha, no se ha detectado pérdida o secuestro de información sensible o confidencial", lo cierto es que al inició de la invasión de Ucrania por Rusia ya avisaron a sus trabajadores de que apagasen los equipos los fines de semana ante eventuales ataques de este tipo. "Algo que, como se ha visto, no ha sido efectivo", recalca el investigador.

Pero, ¿qué pasos se supone que hay que seguir una vez detectado el ataque de este tipo? «Tenemos dos objetivos: volver a restablecer el servicio e identificar por dónde han pasado los ciberdelincuentes», explica a ABC Lorenzo Martínez, director de la empresa de ciberseguridad Securízame. «Y este proceso se puede retrasar por varios motivos, como que sea una organización muy grande o que las copias de seguridad estén comprometidas o incluso que sean inexistentes».

Según afirma Martínez, el propósito de estos ciberdelincuentes es obtener un rescate que «incluso puede llegar al millón de euros». «Antes, los cibercriminales te dejaban el virus y se iban; ahora, se quedan para averiguar datos y utilizarlos contra ti, por lo que negociar con ellos puede ser una ardua tarea».

"El máximo problema aquí es que en una institución tan compleja como el CSIC no existe un protocolo definido sobre qué hacer en estos casos -afirma por su parte Arroyo Guardeño-. No sabemos en qué punto estamos ni cuánto va a tardar en solucionarse, y desde el Gobierno solo han emitido un comunicado cuando lo hemos denunciado por redes".

Estos ciberataques a organismos de la Administración pública no son nuevos: en 2021 algunos organismos como el Servicio Público de Empleo (SEPE), el Instituto Nacional de Estadística y diversos ministerios como el de Educación y Cultura, Justicia o el de Asuntos Económicos y Transformación Digital fueron víctimas de aparentes ataques dirigidos.

Este año, coincidiendo con el conflicto en Ucrania, los ataques han seguido aumentando en todos los países miembros de la Unión Europea, incluida España. "Por ejemplo, hace unos meses un ataque similar afectó a la Universidad Autónoma de Barcelona, que estuvo casi tres meses parada. En la última década hemos visto cómo han aumentado estos fenómenos, pero tras el COVID y últimamente la guerra entre Ucrania y Rusia han crecido exponencialmente", incide Arroyo Guardeño.