Els atacs informàtics a Liechtenstein disparen l’alerta màxima a Andorra

L’accés d’un grup de pirates informàtics a les dades confidencials de milers d’empreses de Liechtenstein ha fet activar els protocols de l’Agència Nacional de Ciberseguretat d’Andorra, davant el risc que l’incident es reprodueixi en altres estats. Ho ha explicat al Diari d’Andorra el responsable de l’organisme, Jordi Ubach, que apunta que el mateix esquema d’atac podria arribar a afectar administracions molt més grans.

L’assalt es va produir la nit del 29 al 30 de juliol. L’objectiu no va ser cap banc ni cap gran corporació, sinó el registre de beneficiaris efectius del principat centreeuropeu, el fitxer públic que recull qui hi ha realment darrere de cada societat, fundació o fideïcomís. L’Oficina de Justícia va detectar irregularitats el mateix 30 de juliol, va desconnectar el sistema i va obrir una investigació. El govern de Vaduz va confirmar oficialment el 3 d’agost que els atacants s’havien endut còpies de dades de vora 31.000 entitats jurídiques, una xifra equivalent a tres quartes parts de la població del país. Els primers resultats de la investigació no indiquen que la informació fos modificada ni esborrada, i el govern ha constituït una cèl·lula de crisi encapçalada per la cap de govern, Brigitte Haas, i el ministre de Justícia, Emanuel Schädler.

Els lladres no van robar diners ni van entrar en cap compte bancari. Van obtenir una altra cosa, potser més valuosa en determinats mercats: noms, dates de naixement, país de residència i nacionalitat de les persones que figuren com a titulars reals d’aquelles empreses i fundacions.

Ací hi ha la paradoxa que ha encès totes les alarmes a Europa. El registre de Liechtenstein va entrar en funcionament el 2021, en aplicació de la cinquena directiva europea contra el blanqueig de capitals, precisament per a desfer l’anonimat societari. És a dir: la fuita no ha trencat cap secret bancari, sinó que ha posat en circulació un inventari elaborat per l’estat mateix amb els noms que abans quedaven amagats darrere de societats interposades. Una eina de transparència s’ha convertit així en un objectiu de primer ordre, i el problema no és exclusiu de Vaduz: registres idèntics són obligatoris a tot l’Espai Econòmic Europeu.

La comparació amb Andorra no és retòrica. Es tracta de dos microestats europeus de dimensions equiparables —Liechtenstein no arriba als 40.000 habitants; Andorra volta els 85.000—, tots dos fora de la Unió Europea però estretament lligats a la seva normativa, amb una economia on el sector financer i la fiscalitat competitiva han generat una densitat societària sense parangó al continent.

Segons dades del 2025, el Principat comptava amb més de 16.000 societats mercantils, gairebé 800 associacions i una trentena llarga de fundacions. Són unes 200 empreses per cada 1.000 habitants: una per cada cinc ciutadans. La proporció és molt superior a la dels països veïns, però encara queda lluny de Liechtenstein, on hi ha una empresa per cada dos habitants.

I, com Liechtenstein, Andorra també disposa d’un registre de beneficiaris efectius. L’obligació de declarar qui hi ha darrere de cada societat, associació o fundació va arribar amb la Llei 14/2017 de prevenció i lluita contra el blanqueig, desplegada per reglament el 2018 i reforçada el 2021, sota la pressió del Grup d’Acció Financera i de les directives comunitàries. El material que els pirates van furtar a Vaduz té, doncs, un equivalent andorrà.

Ubach explica que Andorra té accés a la xarxa europea de cooperació CSIRT, de resposta a emergències informàtiques, i a l’Agència de la Unió Europea per a la Ciberseguretat (Enisa), cosa que li dona la mateixa capacitat de detecció d’alertes que qualsevol estat europeu. “Tenim els contactes per monitorar possibles amenaces i després l’equip de resposta pren les decisions pertinents”, diu.
En aquest cas s’ha fet una revisió perimetral de seguretat per comprovar que la informació confidencial equivalent a la de Liechtenstein no fos a l’abast dels atacants, i s’han pres mesures preventives. És el protocol previst quan una alerta es considera crítica.

Tot i això, el responsable de l’agència sosté que un atac de les mateixes característiques tindria a Andorra un impacte menor, per la manera com hi està desada la informació. “Com que està distribuïda i no estructurada, encara que s’accedís a una part del contingut no es podria accedir a tot”, afirma Ubach. La dispersió, en aquest cas, funciona com una defensa.

L’episodi arriba en un moment de creixement sostingut dels delictes informàtics al Principat. El govern andorrà ha aprovat un projecte de llei de modificació de la Llei 22/2022 de mesures per a la seguretat de les xarxes i dels sistemes d’informació que obligarà les empreses a notificar les incidències que detectin, perquè qualsevol alerta aparentment menor pot acabar generant danys col·laterals o afectant serveis sensibles.

Andorra ja assoleix uns llindars de ciberdelictes detectats proporcionals als d’altres països. Això no vol dir necessàriament que n’hi hagi més: vol dir també que ara hi ha més mecanismes per a identificar-los.