Ataque informático al Ayuntamiento de Sevilla mientras cae la inversión en ciberseguridad en las AAPP

Esta semana un ciberataque a una institución pública volvía a ser noticia. El Ayuntamiento de Sevilla sufría el secuestro de sus sistemas informáticos y, aunque desde el consistorio aseguran que los datos de los ciudadanos están a salvo, todos los servicios se interrumpieron “como medida de precaución hasta conocer el alcance concreto”, según explicaba el consistorio en un brevísimo comunicado a través de su cuenta en la red social X (antes Twitter).

Las consecuencias se han dejado notar durante toda la semana paralizando todos los trámites electrónicos de la administración local, como la solicitud de citas previas, pago de tributos u obtención de documentación. Hoy esos servicios siguen sin estar disponibles y las gestiones se están tratando de solventar echando mano al papel y al bolígrafo, y acudiendo presencialmente a las oficinas pertinentes.

Detrás de este ataque informático, está el grupo de hackers holandés LockBit, sobre el que ya lanzó una alerta a finales de agosto el Ministerio de Defensa. En ella advertía del alto nivel de sofisticación de una nueva campaña de distribución del ransomware Lockbit Locker. Un tipo de malware que envía correos electrónicos con un archivo adjunto que, al ser descargado, se ejecuta en el ordenador encriptando sus datos con un clave que sólo conocen los atacantes.

[Concienciación como mantra para reforzar la ciberseguridad en empresas y Administración]

Para recuperarlos, los ciberdelincuentes piden un rescate. En el caso del Ayuntamiento de Sevilla ha trascendido que ha sido de más de un millón de euros, que el consistorio hispalense ya ha asegurado que no va a pagar, tal y como ha confirmado el delegado de Hacienda, Participación Ciudadana y Transformación Digital, Juan Bueno.

También ha asegurado que “no tenemos evidencia alguna de que se hayan visto en ningún caso afectados datos personales de los sevillanos”. El ataque ha afectado a más de 4.000 equipos y casi 800 servidores. Los daños están cuantificados en cinco millones de euros.

Aumento de los ataques

No es la primera vez que los sistemas informáticos del Ayuntamiento de Sevilla se ven expuestos. Hace dos años sufrieron un tipo de ataque llamado Man in the Middle, o fraude del intermediario, que consiste en interceptar las comunicaciones entre dos entidades y suplantar la identidad de una de ellas para cobrar sus facturas. En este caso, lograron desviar casi un millón de euros de una concesión en la contratación de las luces de Navidad. Un dinero que no se ha recuperado.

No es el único organismo público que ha sufrido extorsiones de este tipo. Los ciberataques con ransomware a entidades gubernamentales se han incrementado en los últimos años. La última edición del informe Ciberamenzas y Tendencias del Centro Criptológico Nacional (CCN), de diciembre de 2022, registra ese aumento en el número de este tipo de operaciones, así como en su sofisticación.

[Un año del ciberataque al CSIC. ¿Qué ha cambiado?]

En 2021 los principales objetivos fueron organizaciones dedicadas a la investigación (recordemos el caso del CSIC de hace un año), así como la defensa nacional o gobiernos. Datos que suponen un 75% y un 47% más que en 2020, respectivamente. En total, el número de incidentes críticos que gestionó el CNN-CERT en 2021 fue 118, el doble de 2020.

Detrás, no sólo hay piratas informáticos que cada vez utilizan tecnologías más avanzadas, también una disminución en los presupuestos que la Administración pública destina ciberseguridad: la inversión en este capítulo ha disminuido un 33,1% durante el primer semestre de 2023, según el Barómetro de Ciberseguridad, de Adjudicaciones TIC. 

Disminuye la inversión

En este periodo, las AAPP invirtieron 81,04 millones de euros repartidos en 300 adjudicaciones para proteger sus infraestructuras informáticas, mientras que en el mismo periodo del año anterior dedicaron 121,13 millones.

Un descenso que, desde esta plataforma, señalan que está provocado principalmente por la convocatoria de elecciones y señalan que existe una previsión de crecimiento y oportunidades de negocio para los últimos seis meses del año.

Durante 2023, el organismo público que más inversión ha dedicado a ciberseguridad ha sido la Administración General del Estado, con 72 contratos por un valor de 44,78 millones de euros. Destacan los 17 contratos del Ministerio de Defensa por 9,49 millones de euros, los dos contratos por 8,21 millones de la Gerencia de Informática de la Seguridad Social (GISS) o los 4,63 millones de un contrato de la Agencia de Ciberseguridad de Cataluña.

En cuanto a las Comunidades Autónomas, representan el 28,94 % del total invertido, con Cataluña, la Comunidad de Madrid y Aragón como las más activas. Entre las tres suman una inversión de 19,08 millones de euros, es decir, un 23,54% de la inversión total en ciberseguridad en el primer semestre del año