El Louvre feia servir “LOUVRE” de contrasenya: el robatori de joies revela anys de negligència informàtica

El robatori d’unes quantes joies de l’època napoleònica al Museu del Louvre el 19 d’octubre ha deixat al descobert una sèrie de greus negligències en matèria de ciberseguretat que s’arrossegaven d’ençà de feia més d’una dècada. Segons documents i informes confidencials als quals ha tingut accés el diari Libération, el sistema informàtic del museu més visitat del món operava amb programes obsolets i contrasenyes ridículament fàcils de vulnerar.

Una auditoria de l’Agència de la Seguretat dels Sistemes d’Informació francesa del 2014 ja havia advertit que bona part dels ordinadors del museu funcionaven amb Windows 2000, un sistema sense suport tècnic ni actualitzacions de seguretat. En aquella mateixa revisió, els tècnics de l’agència van aconseguir d’infiltrar-se en el sistema intern del museu des de simples terminals de treball, accedint a servidors i modificant drets d’accés a les credencials del personal. El que van trobar va ser encara més sorprenent: la contrasenya per entrar al servidor de videovigilància era “LOUVRE”, i la d’un altre programa, desenvolupat per l’empresa Thales, era “THALES”.

L’auditoria recomanava de manera explícita migrar a programes més segurs, actualitzar els sistemes i reforçar les contrasenyes, però res no indica que les mesures fossin aplicades. Tres anys més tard, el 2017, un nou informe de l’Institut d’Estudis de Seguretat i Justícia francès constatava “grans carències” en la seguretat del museu: tecnologia envellida, manteniment parcial i vulnerabilitats persistents en els sistemes de control d’accés i videoprotecció. Els experts advertien que el Louvre “ha estat fins ara afortunat”, però que no podia continuar ignorant el risc “d’un atac amb conseqüències dramàtiques”.

Les revelacions arriben després del robatori de peces d’un valor estimat en més de cent milions d’euros, que es va produir amb el museu obert al públic i sota un dispositiu de seguretat teòricament actiu. La ministra de Cultura, Rachida Dati, va afirmar inicialment que “els dispositius de seguretat no havien fallat”, però deu dies més tard va reconèixer deficiències greus i va ordenar una nova auditoria general del sistema de seguretat.

Entre 2019 i 2025, diversos documents interns i licitacions públiques han confirmat que el museu encara utilitzava almenys vuit programes obsolets que no podien actualitzar-se, entre ells Sathi, un programari de control de videovigilància desenvolupat per Thales l’any 2003 i abandonat pel seu editor el 2015. Alguns servidors continuaven operant sota Windows Server 2003, també sense suport tècnic.