El ciberataque sufrido por el Ayuntamiento de Cangas do Morrazo en Pontevedra en mayo de 2023 sigue teniendo consecuencias más de tres años después. De hecho, la propia provincia no ha dejado de subir ciberataques desde entonces.
Todo comenzó con el bloqueo de buena parte de los sistemas municipales mediante un ransomware y ha concluido con una investigación judicial sobre la gestión del rescate abonado para recuperar la información.
La causa ha situado en el foco a un concejal del actual equipo de gobierno, mientras la Justicia trata de esclarecer si hubo irregularidades en la contratación de la empresa que negoció con los ciberdelincuentes.
Una investigación centrada en la gestión del rescate
La titular del Juzgado de Instancia de Cangas ha citado como investigado a Antón Iglesias, actual concejal de Urbanismo, Vivienda y Medio Ambiente.
La investigación gira en torno a la contratación realizada para afrontar las consecuencias del ataque informático y al pago cercano a los 200.000 euros efectuado en bitcoin.
Uno de los aspectos que más llama la atención es que Iglesias no ocupaba ningún cargo político cuando ocurrieron los hechos.
En aquel momento la alcaldesa era Araceli Gestido, quien autorizó el contrato de urgencia que permitió encargar la recuperación de los datos. Hasta ahora no ha sido llamada a declarar, aunque la evolución del procedimiento podría ampliar el número de personas investigadas.
La Fiscalía investiga presuntos delitos de prevaricación, malversación, daños informáticos y coacciones, aunque el objeto principal de la causa no es el pago del rescate en sí, sino la forma en la que se adjudicaron los contratos relacionados con la gestión de la crisis.
Dos contratos con la misma empresa
Tras detectar el ataque, el Concello contrató a EVELB Técnicas y Sistemas S.L. para realizar un análisis forense de los equipos comprometidos.
Este primer encargo supuso un desembolso de 5.279 euros, pero no consiguió recuperar la información bloqueada.
Semanas después, la administración volvió a confiar en la misma empresa mediante un segundo contrato de emergencia. En esta ocasión, el importe alcanzó los 197.847,17 euros.
La recuperación de los archivos no se logró mediante procedimientos técnicos, sino tras negociar directamente con los responsables del ataque y abonar el rescate exigido en criptomonedas.
Precisamente la ausencia de un procedimiento de contratación abierto y la adjudicación consecutiva a la misma empresa son algunos de los elementos que examina la Justicia.
Así se produjo el ataque de LockBit
El incidente tuvo lugar durante la madrugada del 19 de mayo de 2023. El ransomware utilizado fue LockBit 3.0, uno de los grupos criminales más activos a nivel internacional durante aquellos años.
Las primeras investigaciones apuntaron a que la infección pudo producirse tras la apertura de un correo de phishing o mediante una vulnerabilidad en una conexión VPN utilizada para el teletrabajo.
Una vez dentro de la red municipal, los atacantes cifraron los servidores y bloquearon más de la mitad de los equipos informáticos.
Los empleados encontraron al iniciar la jornada un mensaje en inglés exigiendo el pago de un rescate en bitcoin para recuperar el acceso a los archivos.
Además, los delincuentes amenazaban con publicar o vender la información sustraída en la dark web si no recibían el dinero.
Servicios municipales paralizados
Las consecuencias fueron especialmente graves para la actividad diaria del Ayuntamiento.
Los sistemas de contabilidad, gestión tributaria y elaboración de nóminas quedaron inutilizados, mientras numerosos servidores tuvieron que desconectarse para evitar una mayor propagación del malware.
La Policía Local detectó los primeros problemas cuando intentó consultar información relacionada con un detenido y comprobó que los equipos no respondían.
Horas después comenzaron las tareas de contención por parte de los responsables informáticos del Concello.
Aunque la plataforma Gestiona permitió mantener operativos algunos procedimientos administrativos, buena parte del funcionamiento municipal quedó seriamente afectado durante semanas.
LockBit, una de las mayores amenazas para las administraciones
LockBit se ha consolidado como uno de los ransomware más peligrosos del mundo al especializarse en atacar empresas y organismos públicos. Su funcionamiento consiste en infiltrarse silenciosamente en las redes, robar información y cifrar los archivos para impedir el acceso a los sistemas.
Posteriormente exige el pago de un rescate, normalmente en criptomonedas, a cambio de proporcionar las claves de descifrado y comprometerse a no difundir la información robada.
Sus víctimas se repartieron por Estados Unidos, Europa y Asia, afectando tanto a compañías privadas como a administraciones públicas.
Tras el ataque, el Ayuntamiento de Cangas inició, como es lógico, un refuerzo de sus medidas de ciberseguridad para reducir el riesgo de nuevos incidentes.
El incremento constante de este tipo de amenazas ha llevado a numerosas administraciones españolas a aumentar sus inversiones en protección informática, sistemas de respaldo y formación de los empleados frente a ataques de phishing, una de las principales puertas de entrada utilizadas por los ciberdelincuentes.
