Si Conti hizo ciberataque a Hacienda, estas son las 4 cosas que debe saber

(CRHoy.com) La caída de las plataformas tributarias ATV y TICA del Ministerio de Hacienda ha coincidido con la alerta emitida por la cuenta de Better Cyber, que indicó que un malware, identificado como Conti, había descargado durante la madrugada de hoy 1 Terabyte de información y que esta sería publicada a partir del 23 de abril.

Hasta ahora, Hacienda solo comunicó que sus páginas estaban caídas y que los informáticos se encontraban trabajando para restablecer la página. Hacienda no dio detalles de las causas del fallo del sistema y tampoco descartaron que se tratara de un ataque cibernético por parte de Conti.

¿Quién es Conti?

Es un grupo de hackers que organizan ataques a empresas, personas o a instituciones de Estado, donde generalmente lo que hacen es secuestrar información de carácter sensible y piden dinero a cambio de no publicar  esa información. Aparentemente, Conti estaría pidiendo 10 millones de dólares a Hacienda por la información pirateada.

En el caso de Conti, trabajan con doble extorsión, es decir, ellos piden dinero para la no publicación de información y además presionan a sus víctimas para que eviten una brecha de información, la cual afecta mayormente a las empresas en materia reputacional, esto se debe a que en el secuestro de los datos los hackers adquieren credenciales administrativas del sitio web.

¿Qué información podría verse expuesta?

"En el caso de Costa Rica, si tienen tomado el sitio del Ministerio de Hacienda, podemos pensar que el tipo de información que hay ahí pone en riesgo la protección de datos de un montón de personas y empresas", comentó Andrés Corrales, abogado especialista en Tecnologías de la Información.

Dentro del sitio web del Ministerio de Hacienda existe mucha información de carácter sensible que no es publicable, por ejemplo: el monto de ganancias que recibe cada empresa inscrita ante Hacienda, el valor de los impuestos que pagan las empresas o una persona física, cuáles son las ganancias de una persona y si esta pertenece a una o más Sociedades Anónimas.

"Cuando hablamos de datos personales, hablamos de pagos, correos electrónicos, contraseñas posiblemente, no es solo preocuparme que se va a saber cuanto pagó tal empresa en impuestos, es que se está violentando la vulnerabilidad y la privacidad de las personas, entonces ¿Cuál es la seguridad que nos está garantizando el Estado para el mundo digital?", expuso Corrales.

¿Qué podría suceder si esta información se ve expuesta?

Según Adalid Medrano, abogado especialista en delitos informáticos, "si se tuviese información, por ejemplo, de índole tributaria con respecto a pagos, a información sensible como podría ser facturas, nos encontraríamos ante un escenario en donde los grupos criminales nacionales podrían explotar esta información para fortalecer sus ataques como: extorsiones, ataques de ingeniería social o ataques informáticos específicos".

De esta manera, las llamadas en las que se suele estafar a la ciudadanía podrían verse en aumento; además, con mayor información con la que se pueda engañar a las personas. Las consecuencias delictivas dependerán de quienes obtengan esta información.

¿Cuál sería la responsabilidad del Ministerio de Hacienda?

"En este caso, Hacienda tendría la obligación de notificarle a los titulares de los datos que fueron afectados y que ellos están siendo víctimas de un ataque informático y que sus datos podrían estar expuestos; sin embargo, no habría consecuencias económicas", comentó Medrano.

Aun cuando no se tuvieran las sanciones económicas  por mantener sistemas informáticos inseguros; sí se podría tener algún tipo de  sanción,  y solo con una investigación que realice la Agencia de la Protección de Datos de los Habitantes podría ser procesada. 

"La sanción va a depender de cuáles son las circunstancias, de como están los servidores en seguridad informática. No necesariamente un ataque de randsonware tiene que ver con sistemas mal asegurados, muchas veces puede darse que nos encontremos ante una vulnerabilidad o un error en los sistemas informáticos de los cuales es muy difícil protegerse" indicó Medrano.

Según la Ley de Protección de la Persona Frente al tratamiento de sus Datos Personales, en el artículo 28 expone que la sanción de una causa leve, la multa puede llegar hasta cinco salarios, bases de un auxiliar judicial actual, lo que equivale a ¢2.131.000.