Cangas exposta: 5 GB de datos do Concello filtrados tras rexeitar o rescate

O municipio vigués converteuse en febreiro en obxectivo do grupo cibercriminal RansomHub, que conseguiu extraer cinco gigabytes de información sensible dos servidores municipais. O Concello negouse a pagar o rescate esixido, e a resposta non se fixo agardar: o 16 de marzo, toda a documentación subtraída apareceu publicada en foros da rede escura, ficando accesible para calquera que soubera buscala.

Un ataque con nome propio

RansomHub. Así preséntase a organización criminal que perforou as defensas dixitais do Concello de Cangas. É un nome que nos últimos meses apareceu vinculado a múltiples ataques de similar natureza en distintas administracións públicas europeas.

O modus operandi apenas varía dun caso a outro. Primeiro, accédese aos sistemas mediante vulnerabilidades ou credenciais comprometidas. Despois, extráese e cífrase a información. Finalmente, esíxese un rescate baixo ameaza de publicación. Se a vítima paga, teoricamente recupera o acceso. Se non paga, os datos filtranse. Sinxelo. Brutal.

O Concello de Cangas decidiu non negociar cos cibercriminais. É unha postura que os expertos en segurança recomiendan de maneira case unánime, xa que o pago financia novas campañas delitivas e non garante absolutamente nada. Pero esa negativa tivo un custo inmediato: cinco gigabytes de arquivos municipais quedaron expostos en internet sen control ningún.

A comparecencia do 8 de maio

Case tres meses. Ese foi o tempo que tardou a institución en ofrecer unha explicación pública formal sobre o ocorrido. O 8 de maio, a secretaria xeral técnica do Concello compareceu para abordar o incidente, acompañada por unha concelleira do Partido Popular.

Tres meses son moitos cando os datos xa están circulando libremente. A xente necesita respostas rápidas cando a súa información persoal pode estar comprometida. A espera, aínda que xuridicamente explicable, alimenta inevitabelmente a sensación de que hai algo que ocultar.

Quien compareceu aquel día tentou transmitir calma, pero as incógnitas seguen sendo numerosas. Que tipo exacto de arquivos foron subtraídos? Contiñan datos persoais de veciños, empregados ou provedores? Notificouse individualmente ás persoas potencialmente afectadas, tal como esixe a normativa de protección de datos?

O contexto: un tsunami que golpeou a toda Galicia

Convén recordar que o ataque a Cangas non foi un suceso illado. Formou parte dun ciberataque masivo que afectou á Xunta de Galicia e que impactou directamente en 138 entes da administración autonómica. A cifra global de persoas afectadas superou os seiscentos mil, o que converte o incidente no maior ataque informático sufrido por unha comunidade autónoma na historia recente.

A magnitude é colosal. Falamos dun volume de información que afecta a unha porción substancial da poboación galega. Os sistemas informáticos da Xunta, e por extensión os dos entes locais vinculados, resultaron vulnerables dun xeito que poucos terían imaxinado antes de que ocorrera.

Cangas foi un dos municipios atrapados nesa rede. Pero o seu caso ten unha particularidade que o diferencia do resto: os datos subtraídos terminaron sendo publicados integralmente, mentres que noutros entes o impacto puido conterse ou non transcendeu do mesmo xeito.

A carencia de sistemas EDR

Non é menor o dato que se deslizou durante a comparecencia do 8 de maio. A secretaria xeral técnica recoñeceu que a administración carecía de sistemas EDR —Endpoint Detection and Response— no momento do ataque. Trátase de ferramentas deseñadas especificamente para detectar ameazas avanzadas e neutralizalas antes de que causen danos irreversibles.