La Comisión Electoral de Reino Unido (UK Electoral Commission) ha anunciado que han sufrido un ciberataque y una brecha de datos masiva, la cual ha expuesto la información personal de todas las personas registradas para votar en el Reino Unido entre 2014 y 2022.
A lo largo de estos ocho años, ha quedado expuesta información del censo electoral del país, que incluye a 40 millones de votantes.
En el comunicado, titulado “notificación pública de ciberataque en los sistemas de la Comisión Electoral”, exponen que detectaron el ciberataque por primera vez en octubre de 2022, pero se dieron cuenta de que los actores maliciosos habían logrado acceder a los sistemas mucho antes, en agosto de 2021.
El anuncio llega por tanto diez meses después de que la Comisión detectase la brecha, y dos años después de que tuviera lugar la brecha de datos inicial.
Como parte de este ciberataque, los atacantes accedieron a los servidores que alojaban el correo electrónico, sistemas de control y las copias de los registros electorales.
Los registros que se alojaban en esos servidores en el momento del ciberataque incluyen el nombre, apellidos y dirección de cualquier persona en el Reino Unido que estuviera registrada para votar entre 2014 y 2022, así como los nombres de aquellos registrados como votantes en el extranjero. También se incluía en el registro la fecha en la que la persona alcanza la edad para votar.
“Han sido capaces de acceder a copias de los registros electorales, custodiados por la Comisión para propósitos de investigación y habilitar controles de donaciones políticas”, explica el comunicado.
Durante la brecha de seguridad, los cibercriminales tuvieron acceso al servidor de correo electrónico, por lo que quedó expuesta cualquier comunicación y datos contenidos en ellos.
Esto incluye, según explican, todo tipo de información que los usuarios han ido enviando a través de este medio a la Comisión: el correo electrónico proporcionado, número de teléfono y cualquier otra información e incluso imágenes que los usuarios pudiesen haber proporcionado.
“No ha tenido impacto en las elecciones”
La comisión explica en su comunicado que este ciberataque “no ha tenido impacto en ninguna de las elecciones”.
La agencia de alguna manera le quita importancia al ataque, asegurando que no se modificó ninguno de los registros y que “mucha de la información ya es de dominio público”, algo que es cuestionable, sobre todo en relación a la información sustraída de sus correos electrónicos. En el comunicado también piden disculpas por lo sucedido y aseguran que han implementado más medidas de seguridad desde que han conocido el incidente.
En cuanto al ataque, no dan explicaciones en el comunicado. La BBC se ha puesto en contacto con la Comisión, que ha reconocido que se ha tratado de un ataque “muy sofisticado que ha involucrado software para evadir sus sistemas”.
También explican que es difícil saber exactamente cuántas personas están afectadas, pero estiman que el registro de cada año contiene los detalles de unos 40 millones de personas.
