Un incident cada 2 hores i 36 minuts: augmenten les ciberamenaces contra l’administració pública

Les administracions públiques fa temps que s’han convertit en un objectiu per als ciberdelinqüents. Aquest estiu s’ha vist clarament amb el ciberatac contra l’Ajuntament d’Elx, el dilluns 25 d’agost, que va deixar temporalment inoperatiu el sistema informàtic de la capital del Baix Vinalopó. Però no ha estat pas l’única víctima. Pocs dies després va saber-se que la Cambra de Comerç de València també havia tingut un ciberatac el juny; i a final d’agost, l’Ajuntament de Capellades (Anoia).

Aquests casos il·lustren una realitat preocupant: que els consistoris i organismes públics es troben exposats a tota mena d’amenaces en què la prevenció té un rol clau per a combatre els atacs, que són molt variats i van des del ransomware (programari maliciós que segresta dades) fins al robatori d’arxius i dades. Els ciberatacs són, sens dubte, una amenaça constant.

L’Agència de Ciberseguretat de Catalunya alerta que enguany hi ha molta activitat bel·ligerant i un augment d’incidents greus, amb tècniques que tenen per objectiu el robatori de credencials dels usuaris. L’entitat avisa que reben aquests atacs sobretot els organismes que no tenen prou maduresa en ciberseguretat. “És un any més intens en aspectes molt concrets, sobretot pel robatori de credencials. Tenim la sort que a la Generalitat hi ha un programa de protecció i l’impacte no és tan greu”, explica Pedro Lendínez, director d’Operacions de l’Agència de Ciberseguretat de Catalunya.

Un incident cada 2 hores i 36 minuts

En l’àmbit de la ciberseguretat, Lendínez adverteix que les amenaces són constants i estan en plena expansió. Actualment, l’Agència gestiona en temps real una vuitantena d’incidents. “Veiem una tendència a l’alça dels atacs contra la identitat, sobretot mitjançant campanyes de phishing o d’enganys adreçats a personal amb poca formació en seguretat. L’augment és notable respecte d’anys anteriors”, explica.

Fins l’agost, l’Agència havia registrat 702 milions d’intents de ciberatac –una xifra que no equival a incidents consumats, sinó a intents de comprometre la confidencialitat, la integritat o la disponibilitat dels sistemes. El 2024, se’n van detectar més de 6.900 milions. “Són intents que hem identificat i blocat abans no causessin impacte”, matisa Lendínez. Malgrat tot, les dades demostren l’abast del fenomen: de mitjana, es produeix un incident de ciberseguretat cada 2 hores i 36 minuts, segons càlculs de l’Agència.

Les estadístiques d’enguany segueixen una línia similar a la dels últims exercicis. El 2024 es van gestionar 3.372 incidents, dels quals 33 van ser complexos, ja que van tenir una afectació directa sobre la ciutadania. Un dels més greus va ser el ciberatac contra l’Agència de Residus de Catalunya, que va generar una afectació total als sistemes de l’organització i a alguns dels processos de negoci. El 2023 hi va haver 2.670 incidents, i el 2022, 2.175. El 2021, la xifra havia estat de 2.819. Encara no hi ha dades tancades d’enguany, però tot apunta que el volum serà semblant al de l’any passat, però amb moltes més amenaces.

L’Agència assenyala que la suplantació de la identitat és un dels mecanismes principals dels ciberdelinqüents. “El phishing és el més conegut, però encara és el més efectiu. Hi ha més tècniques, com ara l’explotació de vulnerabilitats. Aprofiten forats en les aplicacions”, diu Lendínez. Per això, assenyala que desplegar elements de protecció i activar el doble factor d’autenticació és clau. Sobretot tenint en compte que aquest darrer trimestre han detectat un augment de les vulnerabilitats en l’administració i al món empresarial.

Els ciberdelinqüents fan campanyes orientades a tota mena d’àmbits i les adapten segons l’època de l’any. Per exemple, durant l’estiu, hi ha estafes centrades en el turisme i el lleure; a començament de curs, hi ha ciberatacs vinculats amb la compra de material escolar; i durant la campanya de la renda, n’hi ha que suplanten la identitat de l’Agència Tributària espanyola.

Els cibercriminals ataquen principalment amb motivacions econòmiques. Volen apoderar-se de les dades per vendre-les a tercers, o les segresten i exerceixen una extorsió. I l’entitat no hi torna a tenir accés fins que no paga el rescat. També hi pot haver motivacions geopolítiques o activistes perquè, al cap i a la fi, no deixa de ser una indústria. En l’informe de prospectives de ciberseguretat d’enguany, l’Agència ja advertia que el context geopolític agreujaria els riscs, amb la proliferació de ciberatacs destructius i la consolidació de xarxes cibercriminals alineades amb interessos d’estat.

L’Agència també preveia una allau d’estafes cibernètiques més sofisticades, impulsades per l’ús massiu de dades personals robades i per tecnologies com ara els deep fakes (contingut fals generat amb intel·ligència artificial). També deia que les empreses, especialment les petites i mitjanes, havien de reforçar-se enfront de l’amenaça creixent de ransomware, que evoluciona amb tècniques d’automatització i combinant extorsió amb robatori de dades.

Ciberseguretat en ajuntaments i administracions

Ara com ara, l’Agència de Ciberseguretat de Catalunya monitora 235 entitats del món local. “Quan ens ho comuniquen, activem els protocols de resposta que tenim desplegats, gestionem la crisi, despleguem mitjans i fem un acompanyament tècnic. És gestionar la resposta de l’incident”, explica Lendínez. Segons ells, no seria acurat dir que l’administració local no està prou preparada, perquè és molt diversa, però sí que creu que caldria millorar la prevenció i la capacitat de resposta.

Per fer-ho, l’Agència va crear l’any 2019 el programa Catalonia-SOC, pensada per a oferir un conjunt d’eines de protecció. Ofereix protecció als usuaris tot blocant
l’accés a pàgines malicioses i fraudulentes i és un primer nivell de protecció enfront d’atacs de phishing, enginyeria social i més amenaces. Segons l’Agència, aquest sistema va permetre d’aturar 112 incidents en l’àmbit local l’any passat.

Lendínez afegeix que enguany l’Agència ha destinat 3,5 milions d’euros al món local per millorar-ne les capacitats. “Ha de permetre millorar, però no ho fem sols. Tenim convenis amb Localret i amb les diputacions per a treballar de manera coordinada. Posem el focus en les entitats que més ho poden necessitar”, diu.

Els casos d’Elx i Capellades

Els dos episodis de fa poc a Elx i Capellades exemplifiquen fins a quin punt les administracions locals s’han convertit en un objectiu prioritari del ransomware. A Capellades, l’ajuntament va ser víctima d’un ciberatac que va comprometre els sistemes d’informació municipals. El consistori va activar de seguida els protocols establerts: denúncia als Mossos d’Esquadra, notificació a l’Agència de Ciberseguretat de Catalunya, al Centre Criptològic i Centre d’Intel·ligència espanyols (CCN-CERT) i a l’Autoritat Catalana de Protecció de Dades (APDCAT), i desplegament de mesures per contenir l’incident.

Alhora, es va obrir una investigació per determinar si les dades de ciutadans, electes, treballadors i proveïdors havien estat compromeses. Entre les accions immediates hi havia el canvi massiu de contrasenyes, l’anàlisi forense de l’impacte i el procés de restauració de la informació. El consistori va advertir la ciutadania que estigués atenta enfront de possibles intents de phishing o suplantacions.

A Elx, el ciberatac del 25 d’agost va deixar fora de servei bona part dels sistemes municipals. Des del primer moment, es va activar el Comitè de Crisi de l’Esquema Nacional de Seguretat i es va treballar en coordinació amb organismes estatals, com ara el CCN i el CNPIC. Cinc dies més tard, el consistori ja havia aconseguit de crear una xarxa segura i començar a restablir progressivament els serveis essencials, tot prioritzant àrees com ara hisenda, els serveis públics, la batllia i la policia local.