El Gobierno madrileño enseña a los ayuntamientos a defenderse de los ataques de 'hackers'

No son uno ni dos los afectados: en las últimas semanas, se han conocido casos en los ayuntamientos de Castellón, Calviá, Granada, Requena, en la diputación de Vizcaya… Muchas veces, son los mismos 'profesionales' los que se dedican al 'hackeo' de los sistemas informáticos de las administraciones. En abril de 2022, por ejemplo, se detuvo a un individuo que accedió a los sistemas de los ayuntamientos de Madrid y Granada y manipuló el número de cuenta de las nóminas de varios funcionarios para desviar dinero. En Sevilla tuvieron un problema en octubre de 2023, y estuvieron más de 40 días con la sede electrónica suspendida a causa de un ciberataque. El pasado 12 de noviembre, Humanes se enfrentó a un ciberataque en el que llegaron a pedir un rescate, según algunas fuentes en criptomonedas. «Los informáticos nos salvaron», recuerdan en este municipio.

«La Administración pública está hasta arriba de ataques», reconoce Emilio Rico, el formador que imparte estos cursos para ayuntamientos en el Centro de Innovación de la Consejería de Digitalización, en la calle Embajadores. Los datos que facilitó este verano el Ayuntamiento de Madrid asustan: de marzo de 2023 a abril de 2024, el consistorio madrileño sufrió un total de 9.872 ciberincidentes, uno de ellos de gravedad «muy alta», cuantificaban desde el organismo autónomo Informática del Ayuntamiento de Madrid.

Noticia Relacionada

Hackers españoles contra el lado oscuro de internet

Rodrigo Alonso

Pueden ganar millones como cibercriminales, pero deciden defender a la OTAN o a empresas como Microsoft

Este tipo de ataques, recuerda Rico, «pueden ser muy graves si se comprometen, por ejemplo, los servidores que mandan las órdenes a los semáforos. O si un ayuntamiento no puede cobrar las multas, o si no funcionan los parquímetros, o la sede electrónica, o el padrón…».

Los cursos de formación se imparten a responsables de ayuntamientos de hasta 20.000 habitantes, de momento. Se les enseña a encarar una cibercrisis: cómo organizarse ante este delito, el rol que tienen que asumir los responsables públicos y los protocolos de actuación en estos casos, con los que identificar el problema, clasificar su gravedad, activar el comité de crisis, gestionarla y cerrarla.

La organización en cada ayuntamiento es diferente, y depende mucho de factores como los medios con los que cuenta. Al curso acuden concejales con competencias en materia digital, expertos municipales en informática o, en algunos casos, los propios alcaldes. Como en el caso de La Acebeda (67 habitantes), Gustavo Martín. «Hago de todo, de alguacil, de ciberseguridad, el que barre…». Hasta ahora, en su ayuntamiento no han tenido ningún problema de 'hackeos', aunque aprovechando el curso, el regidor pensaba consultar «una cosa algo rara que me está pasando en el teléfono corporativo».

Los expertos de la Consejería de Digitalización han realizado un muestreo entre los municipios, previo a los cursos, para saber qué medidas tomaban en materia de ciberseguridad. La Acebeda fue uno de los que pasó este examen: «Hace algún tiempo nos hicieron un análisis de la web municipal, y nos dijeron que lo teníamos todo muy bien hecho», presume el alcalde. Acudía al curso para conocer cómo defenderse ante estos ciberdelitos, aunque «realmente, nuestro presupuesto es de 62.000 euros al año; no creo que seamos objetivo de los ciberataques».

Sobre la pantalla del ordenador, un extraño símbolo tiene intrigado a alguno de los asistentes. «Ese dibujo es un poco distópico, ¿no?». «Es el símbolo de la alianza rebelde de Star Wars», le aclara otro de los participantes, más ducho en la materia. En el aula se agrupan este día munícipes de Brunete (11.000 habitantes), San Martín de la Vega (20.300), San Lorenzo de El Escorial (18.500), Loeches (8.791), Galapagar (22.100) y La Acebeda (67 vecinos). Sus localidades son muy diferentes, y sus problemas también lo son. Pero la ciberamenaza la tienen todos muy presente.

«Toda ayuda es poca contra los ciberataques», afirma Rafael Jordán, responsable de sistemas en el Ayuntamiento de Brunete. Esta corporación sufrió un ataque –«todos hemos sufrido alguno», afirma Jordán–, y cuando eso ocurre, «se siente uno muy solo, muy nervioso, y llamas a todos los teléfonos que puedes».

A su lado, Miguel Ángel, ingeniero informático del Ayuntamiento de San Martín de la Vega, dice que hasta ahora ellos han estado libres de ataques, pero «siempre es bueno estar prevenido, porque esto da muchos problemas en el día a día». Cree que en las administraciones «necesitamos mucha información» para combatir la ciberdelincuencia.

Loeches también ha enviado al curso a uno de sus informáticos, Aitor Mosquera, que se propone sobre todo aprender cómo «evitar sufrir un ciberataque y saber qué habría que hacer» en caso de que éste tuviera lugar. «Todos estamos concienciados, pero es importante venir para tener más información». Desde Galapagar han hecho un auténtico despliegue: han enviado al tercer teniente de alcalde y responsable de organización digital, Román Robles, junto con Marcos González y David Povedano. Nadie quiere quedarse rezagado en esta asignatura.

Emilio Rico es el formador que imparte el curso, a lo largo de varios días de diciembre. «¿Que cómo se enseña a protegerse de los ciberdelincuentes? Se enseña conociendo cómo son y planificando con antelación qué es lo que te puede pasar: cómo va a pasar, dónde, y qué recursos necesitas». Lo resume en cuatro pasos: «Detección, contención, erradicación y mejoras para que no se repita».

Por eso lo que se les enseña es a vivir un ciberejercicio, como si tuviera lugar un ataque de 'hackers'. «Hay que enseñarles a contar con un comité de crisis, donde tiene que estar naturalmente el alcalde, y también el responsable de tecnologías, y el jefe de comunicación del ayuntamiento porque va a haber que informar; y la parte jurídica, para que las decisiones que se tomen cuenten con respaldo; o el interventor, para poder aprobar gastos si fuera necesario». Hay que pensar en todo: en dar respuesta a la población, pero también a los proveedores municipales. «Cuando te hacen un ataque con un 'ransomware', te cifran la información de todos tus archivos; lo único que se ve en las pantallas cuando te 'hackean' es un mensaje de dónde pagar el rescate», dice Rico.

«En estos cursos –explica el consejero de Digitalización, Miguel López-Valverde– se simulan escenarios de situaciones comprometidas por ciberataques, y se indica cómo reaccionar ante ellas». La Agencia de Ciberseguridad de la Comunidad de Madrid, añade, «tiene un grupo de actuación ante incidentes de este tipo, a los que pueden llamar si les ocurre algo». También cuentan con una línea de información a la ciudadanía.

Los ataques a ayuntamientos, apunta el consejero, no son tan frecuentes «como los que se hacen contra empresas privadas; en el caso de las administraciones, es más el daño reputacional». Para salvar esos casos, la región cuenta con «un servicio de vigilancia digital, que escucha en la web profunda» para desactivar posibles ataques. «Hay consejos básicos, como que no utilicen la misma contraseña cuando hacen cosas privadas, que no son de la Administración».

Lo primero que se hizo desde la Consejería de Digitalización fue una especie de auditoría de los ayuntamientos, «para ver si tenían brechas de seguridad». Insiste López-Valverde en que si un consistorio se encuentra con un problema así, «puede llamar a la Agencia de Ciberseguridad, porque ya hay un canal abierto para ello». Se explica la situación y «si es necesario, hay un equipo de respuesta, los llamamos 'los hombres de negro', que van a ver qué es lo que se ha comprometido y a intentar solucionarlo».