La brecha letona dispara las estafas

Quien haya matriculado un coche en Letonia desde 2008 tiene ahora un problema. Los atacantes entraron en la autoridad nacional de tráfico, la CSDD, y se llevaron registros de recibos de pago vinculados a unos 1,2 millones de personas y entre 150.000 y 200.000 empresas (LSM, BNN). En un país de menos de dos millones de habitantes, eso alcanza a la mayor parte de la población adulta. No se vació ninguna cuenta bancaria. Lo que obtuvieron los delincuentes fue algo distinto: la materia prima para fraudes creíbles, con datos que no caducarán pronto porque los registros se remontan casi dos décadas.

Qué sabe ahora un estafador

Los datos robados se parecen a un expediente personal. Nombres, códigos nacionales de identidad, matrículas de vehículos, importes abonados, fechas de pago y el domicilio que figuraba en el sistema cuando se utilizó el servicio (tezinas.lv, inbox.lv). No se sustrajeron números de teléfono, correos electrónicos, datos bancarios ni credenciales de acceso (NRA). La precisión del resto de la información cambia, sin embargo, la naturaleza del riesgo: una llamada en la que alguien cite correctamente el número de identidad, la matrícula del coche, la tasa exacta pagada el año anterior y la dirección asociada al trámite difícilmente sonará como una estafa genérica.

El código de identidad, por sí solo, no permite acceder a las herramientas letonas de identidad digital, como Smart-ID o Mobile-ID. Pero quien lo conozca puede iniciar un intento de entrada, activar una solicitud de aprobación en el teléfono de la víctima y llamar en ese momento haciéndose pasar por la CSDD o por el banco, mientras la persona mira la pantalla y recibe presión para pulsar «aprobar» (NRA). A los pocos días de conocerse la brecha ya circulaban correos y SMS falsos con la imagen de la CSDD (Delfi, tezinas.lv). La ventana de fraude será larga: los archivos incluyen a personas que registraron un coche en 2008 y que después abandonaron el país (LSM).

Faltaban cierres básicos

La intrusión empezó durante el fin de semana del 7 y 8 de agosto. El organismo nacional de respuesta ante incidentes cibernéticos, CERT.LV, recibió la notificación el lunes 10 por la tarde (NRA). La CSDD comunicó el 13 de agosto que su web había sufrido un ataque. La magnitud completa no llegó al público hasta el día 18 (eng.lsm.lv, LSM).

Lo que falló no fue una técnica exótica. La prensa letona ha señalado que la CSDD no cumplía varios requisitos previstos para sistemas clasificados en el nivel más alto de sensibilidad, es decir, aquellos que contienen suficientes datos personales como para afectar a la mayor parte de la población. Faltaban medidas como la autenticación multifactor, que exige una segunda confirmación además de la contraseña para iniciar sesión. Tampoco se habían realizado pruebas de penetración, los ensayos pagados en los que especialistas intentan entrar antes de que lo hagan atacantes reales (BauskasDzīve/LETA, Delfi).

CERT.LV había ofrecido entre enero y abril instalar sensores de supervisión de red, una especie de alarma contra tráfico sospechoso. El sistema empezó a desplegarse después de la brecha (LA.lv).

La reacción política fue rápida. El presidente Edgars Rinkēvičs afirmó que la dirección de la CSDD no debía seguir en el cargo y pidió a la fiscalía que examinara el caso. Dimiteron tanto la junta como el consejo de la autoridad (Delfi, Kauno diena). Otro fallo informático había obligado ya este mes a cerrar el paso fronterizo letón de Pāternieki con Bielorrusia, de modo que la resistencia de los sistemas estatales letones ya era una cuestión política abierta antes de que el caso de la CSDD la agravara.

Un patrón, no una excepción

Letonia no está sola. Lituania reveló este año que, según la fiscalía, se copiaron ilegalmente más de 600.000 registros de su registro nacional de propiedades y entidades jurídicas, con accesos no autorizados realizados a través de sistemas conectados de otras instituciones (LRT). La vía de ataque fue distinta, pero el resultado resultó familiar: datos administrativos robados, claridad pública tardía y advertencias de que los delincuentes podrían hacerse pasar por organismos del Estado (LRT).

Las normas europeas ya tratan tanto los sistemas de transporte como los registros públicos como infraestructuras críticas bajo la Directiva NIS2, la actualización comunitaria en materia de ciberseguridad. La ley exige notificaciones rápidas de incidentes y concede poderes de ejecución a los reguladores (ENISA, The Record). Cuando quien falla es una agencia estatal y no una empresa privada, la rendición de cuentas suele avanzar más por auditorías y presión política que por multas.

La brecha de la CSDD no necesitó una operación sofisticada de nivel estatal. Bastó un sistema expuesto a internet en el que faltaban controles básicos. La administración digital europea funciona sobre registros interconectados que guardan décadas de datos administrativos, mientras los gobiernos piden a los ciudadanos que confíen cada vez más información a esos sistemas. Esa confianza depende ahora menos de crear nuevos servicios digitales vistosos que de conseguir que funcionen, antes de que alguien los ponga a prueba, los controles más aburridos: contraseñas, permisos de acceso, registros de actividad y sensores de alerta.