Secuestro de datos a la peruana

Los últimos sucesos relativos a la seguridad informática peruana han sido casi una crónica de un desastre anunciado. Se sabía que, tarde o temprano, sucederían. Por si fuera poco, la guerra declarada por Rusia incluyó una alerta mundial para resguardar los sistemas públicos y privados. En un ecosistema virtual global como el actual no se conocen fronteras, por lo que no solo se esperaba ataques a los aliados de uno y otro bando, sino que a río revuelto, ganancia de pescadores: el cibercrimen aprovecharía la oportunidad para incrementar sus ataques, tal como advirtió el experto en seguridad Maximiliano Scarimbolo. Y así sucedió.

Primero, en abril, se filtró información secreta de la policía peruana. Poco después, en mayo, explotó el escándalo de la filtración de los datos personales de casi 30 millones de peruanos –más del 90% de la población–, incluyendo fotos y huellas dactilares. Los datos provenían, principalmente, de las bases de datos de RENIEC (Registro Nacional de Identificación y Estado Civil), la entidad encargada de emitir los documentos de identidad (DNI), a quien acceden diversas entidades para consultar información. La ley peruana prohíbe a quienes consultan sus sistemas guardar copia de dichos datos, pero eso no le importó a los cibercriminales.

La alarma debió encenderse un poco antes de explotar el escándalo, el 18 de abril, cuando Costa Rica se vio envuelta en el secuestro de información de 30 instituciones públicas por parte del grupo Conti, aliado de la ocupación rusa. Según informó el gobierno costarricense, primero pidieron US$10 millones de recompensa, pero como no accedieron fueron soltando datos confidenciales cruciales y subieron el monto exigido a US$20 millones. La BBC informó que los hackers secuestraron los sistemas de declaración de impuestos, paralizando los sistemas de recaudación, además de suspender el pago de los salarios del sector público, lo que constituyó una emergencia nacional.

El grupo Conti, de raíces rusas, también se fijó en Perú que actualmente es, según ESET, el país de la región latinoamericana con mayor incidencia de ransomware (23 %) en el 2021. De hecho, el cibercrimen es intenso en el país y los expertos calculan que solo el año pasado se concretaron 11 billones de ciberataques.

A fines de abril, la prensa local (La República, Sudaca, LaEncerrona) informó que los hackers de Conti amenazaron al Ministerio del Interior (Mininter) de Perú con publicar datos secretos tomados de la Digimin (Dirección General de Inteligencia). Advirtieron que la información estaba en correos que no estaban adecuadamente encriptados y sería liberada si no pagaban por ellos.

Ragi Burhum, doctor en ciencias de la computación, precisó que, para el 10 de mayo, ya se había publicado el 23 % de lo secuestrado, incluyendo datos muy confidenciales como los nombres de los policías encargados de perseguir a terroristas, ubicación de lugares en dónde se hace cultivos alternativos al narcotráfico e información sobre compras realizadas. Pero cuando se empezó a soltar más datos secretos surgió otro escándalo que acaparó los titulares de la prensa: el robo de información de la RENIEC, denunciado por la Asociación de Bancos del Perú (Asbanc).

Marushka Chocobar, secretaria de la SGTD (Secretaría de Gobierno y Transformación digital), detalló ante la comisión investigadora del congreso (Comisión de Descentralización, Regionalización, Gobiernos Locales y Modernización de la Gestión del Estado) que el 13 de mayo se emitió una alerta y el 20 de mayo se iniciaron las investigaciones respectivas. Estas son llevadas a cabo por la Autoridad Nacional de Protección de Datos (ANPD), donde se podrá aplicar la sanción administrativa respectiva (hasta US$125 mil de multa), y en la Divindat (División de Investigación de Delitos de Alta Tecnología de la policía), que podría acarrear una sanción penal de hasta cinco años de cárcel.