Un supuesto ciberataque contra el Ministerio de Asuntos Exteriores, Unión Europea y Cooperación ha comenzado a generar preocupación en la comunidad de ciberseguridad tras difundirse en la red social X una publicación que afirma el robo de casi dos millones de registros pertenecientes a una base de datos del organismo. Sin embargo, por el momento no existe confirmación oficial de que el incidente se haya producido realmente.
La alerta fue difundida por la cuenta especializada Hackmanac, habitual en el seguimiento de incidentes de ciberseguridad a nivel internacional. Según esta publicación, el actor de amenazas identificado como GordonFreeman asegura haber comprometido los sistemas del Ministerio español y extraído 1.953.721 registros que contendrían información personal y técnica de elevada sensibilidad.
No obstante, la propia alerta aparece clasificada como pendiente de verificación, lo que significa que la autenticidad del supuesto ataque aún no ha podido ser comprobada de forma independiente. Además, el Ministerio de Asuntos Exteriores no ha realizado ninguna comunicación pública sobre este presunto incidente.
Una vulnerabilidad IDOR estaría detrás del supuesto acceso
De acuerdo con la información difundida por el supuesto atacante, el acceso a la base de datos se habría producido mediante una vulnerabilidad de tipo IDOR (Insecure Direct Object Reference).
Este tipo de fallo de seguridad se produce cuando una aplicación permite acceder a recursos internos utilizando identificadores que pueden ser manipulados por un usuario. Si la aplicación no verifica correctamente los permisos, un atacante podría consultar información que debería permanecer restringida a otros usuarios.
Las vulnerabilidades IDOR figuran entre los errores de desarrollo más conocidos y, cuando afectan a aplicaciones con grandes volúmenes de información, pueden facilitar el acceso masivo a datos sin necesidad de comprometer credenciales administrativas.
Los datos que supuestamente habrían sido comprometidos
Según las afirmaciones del actor de amenazas, la base de datos contendría una amplia variedad de información personal y técnica.
Entre los datos presuntamente extraídos figuran:
- Nombres completos.
- Direcciones de correo electrónico principales y secundarias.
- Fechas de nacimiento.
- Nacionalidades.
- Números de teléfono.
- Información relacionada con documentos de identidad.
- Direcciones postales.
- Identificadores de usuario.
- Metadatos del sistema.
- Identificadores de empresas.
- Direcciones IP internas.
- Tokens de autenticación CSRF.
De confirmarse la autenticidad de esta filtración, el volumen y la variedad de la información expuesta convertirían este incidente en uno de los más relevantes registrados recientemente contra una institución pública española.
El mayor riesgo sería el uso de los datos en campañas de phishing
Aunque una filtración de datos no implica necesariamente un acceso posterior a otros sistemas, sí puede convertirse en una herramienta extremadamente valiosa para los ciberdelincuentes.
La combinación de nombres, direcciones de correo electrónico, teléfonos, documentos identificativos y otra información personal permitiría elaborar perfiles muy completos de las posibles víctimas. Cuantos más datos posee un atacante sobre una persona, mayor capacidad tiene para preparar campañas de phishing, ingeniería social o fraudes altamente personalizados.
Los mensajes fraudulentos pueden resultar mucho más convincentes cuando incluyen información real del destinatario, aumentando considerablemente las probabilidades de éxito.
En el caso de organismos públicos, además, los atacantes podrían aprovechar la confianza que generan las comunicaciones institucionales para suplantar la identidad del propio Ministerio o de otras administraciones.
La presencia de información técnica también preocupa
Entre los elementos que más llaman la atención del supuesto robo figuran las referencias a direcciones IP internas y tokens CSRF.
Los tokens CSRF son mecanismos utilizados por las aplicaciones web para evitar ataques de falsificación de peticiones entre sitios (Cross-Site Request Forgery). Su mera exposición no significa automáticamente que un atacante pueda acceder a los sistemas afectados, especialmente si estos tokens ya no son válidos.
Sin embargo, junto con otros metadatos técnicos e información sobre la infraestructura, estos elementos podrían ofrecer pistas sobre la arquitectura de la plataforma o facilitar futuras investigaciones por parte de actores maliciosos en busca de nuevas vulnerabilidades.
A pesar de la repercusión que está teniendo esta información en redes sociales y foros especializados, no existe por el momento ninguna evidencia pública que confirme la autenticidad del supuesto ataque.
