Estados Unidos vivió esta semana uno de los ciberincidentes más delicados de los últimos meses: el ciberataque contra OnSolve CodeRED, la plataforma de alertas de emergencias utilizada por ayuntamientos, condados y agencias de seguridad pública en todo el país. El sistema, clave para avisar a la población de fenómenos meteorológicos adversos, alertas policiales o evacuaciones, quedó prácticamente paralizado tras un ciberataque que forzó a su operador, Crisis24, a desmantelar por completo el entorno afectado.
La compañía —especializada en gestión de riesgos— confirmó que los atacantes lograron comprometer la infraestructura de CodeRED y robar información sensible de los usuarios registrados. Aunque aseguran que el ataque no alcanzó otros sistemas corporativos, el impacto sobre el servicio fue devastador: miles de organismos perdieron la capacidad de enviar avisos críticos a la población.
Para cualquier país, pero especialmente para Estados Unidos, donde el uso de plataformas automatizadas de alerta pública es esencial en situaciones de huracanes, tornados o respuestas policiales, la interrupción ha sido considerada un asunto grave. Numerosas instituciones locales han publicado comunicados informando de que buscan alternativas temporales para restaurar su capacidad de emitir alertas a los residentes.
Datos robados y un sistema reconstruido desde cero
La investigación preliminar de Crisis24 confirma lo que los usuarios temían: los atacantes lograron robar información personal almacenada en la plataforma CodeRED. Entre los datos exfiltrados se encuentran nombres, direcciones, teléfonos, correos electrónicos e incluso contraseñas asociadas a los perfiles de usuario.
En un comunicado distribuido a ayuntamientos afectados, Crisis24 admite que “hay indicios de que datos fueron sacados del sistema”, aunque matizan que, por ahora, “no hay evidencia de que se hayan publicado”. Uno de los municipios afectados, University Park (Texas), alertó públicamente a sus vecinos, indicando que la situación continúa en análisis, pero sin rastro por ahora de filtraciones públicas.
El ataque dejó el entorno completamente inutilizable, obligando a la compañía a reconstruir de cero la plataforma sobre un nuevo sistema, al que han denominado “CodeRED by Crisis24”. Sin embargo, esta migración se enfrenta a un problema mayor: la única copia de seguridad íntegra disponible es del 31 de marzo de 2025, lo que significa que miles de cuentas recientes podrían desaparecer o requerir un nuevo registro.
En otras palabras: además del robo de datos, el incidente ha provocado una pérdida masiva de información operativa, un golpe adicional para los organismos que dependen del servicio.
El ransomware INC se atribuye el ataque
Aunque Crisis24 solo habló de un “grupo criminal organizado”, varias fuentes han confirmado que la autoría pertenece a la banda de ransomware INC, un grupo relativamente joven pero extremadamente activo en los últimos dos años.
Los operadores de INC han creado una entrada dedicada a OnSolve CodeRED en su sitio de filtraciones en la red Tor, donde han publicado capturas de pantalla presuntamente obtenidas de los servidores de la compañía. Las imágenes muestran datos de clientes y contraseñas en texto claro, lo que sugiere que parte de la plataforma almacenaba claves sin un sistema de hashing adecuado o que los atacantes lograron descifrar los valores.
INC afirma haber accedido a los sistemas de OnSolve el 1 de noviembre y haber cifrado archivos críticos el 10 de noviembre. Tras no recibir el pago del rescate, aseguran estar vendiendo los datos robados al mejor postor, una amenaza que, de hacerse realidad, podría desencadenar una nueva ola de ataques dirigidos a instituciones locales en Estados Unidos.
Para los usuarios que hayan reutilizado la contraseña de CodeRED en otros servicios —algo frecuente—, los expertos recomiendan cambiarla de inmediato.
Un riesgo para la seguridad nacional: ¿puede pasar en España?
Aunque este ataque ha ocurrido al otro lado del Atlántico, deja una lección incómoda para los servicios de emergencia de cualquier país, incluido España: las plataformas de alerta ciudadana son objetivos de alto valor para los ciberdelincuentes.
En España, sistemas como ES-Alert —el sistema de avisos públicos impulsado por Protección Civil y la Red de Alerta Nacional— operan bajo estándares de seguridad estrictos. Aun así, los incidentes sufridos por organismos públicos en los últimos años, desde ayuntamientos hasta universidades, demuestran que ninguna infraestructura conectada está completamente libre de riesgo.
Para servicios que tienen la obligación de garantizar continuidad operativa —como los de emergencias— este tipo de fallos pueden convertirse en un problema de seguridad ciudadana.
