Los inversores argentinos sufrieron un cimbronazo este fin de semana: trascendió que un grupo de hackers internacional vulneró los sistemas de la Comisión Nacional del Valores (CNV), no porque este organismo tenga información sensible, sino porque deja a los delincuentes demasiado cerca de la Caja de Valores, que custodia y anota cada una de las inversiones del país.

Sin embargo, la Caja de Valores no tiene porqué correr ningún peligro, en la medida que su departamento de informática mantenga actualizado sus sistemas de seguridad y capacitado a todo su personal en medidas de ciberseguridad.

Durante la mañana de este domingo, el grupo Medusa subió a su sitio en la dark web el anuncio con la CNV como víctima. Allí asegura tener 1.5 TB de datos y solicita u$s500.000 para no publicar la información. El organismo asegura que aisló el ataque y está restaurando los datos. En lo que mostró Medusa había un file con contraseñas, pésima práctica para los informáticos.

En qué consistió el ataque a la CNV

"La Comisión Nacional de Valores (CNV) aisló y controló un ataque que se detectó el miércoles 7 de junio. Fue realizado con un tipo de código malicioso del tipo ransomware, conocido como Medusa, que había tomado posesión de equipos informáticos y dejó fuera de línea las plataformas del organismo", según un comunicado oficial.

"El protocolo de actuación permitió aislar los equipos y toda la comunicación con el exterior para evitar la propagación del código malicioso. Luego se iniciaron trabajos para reestablecer los servicios de manera paulatina con el fin de lograr la operación plena, que aún continúa en proceso", asegura la CNV.

"La información tomada por los atacantes es de carácter público que los regulados cargan en la Autopista de Información Financiera, que es la principal vía de comunicación que la CNV mantiene con sus regulados", afirma.

"Las emisiones y otros procedimientos iniciados por los regulados se están aprobando según las necesidades de cada requerimiento", aclara. Y advierte que "la CNV realizará una denuncia penal ante la Justicia para que investigue el origen y las responsabilidades del ataque", advierte.

En este marco, el organismo aseguró que los datos comprometidos son públicos.

La responsabilidad de la CNV se duplica tras el ataque, porque los funcionarios que la dirigen están obligados a denunciar los delitos que se producen y de los que toman conocimiento.

El ataque malicioso de sistemas informáticos no es un delito tipificado en el Código Penal argentino, pero sí otros tres delitos que se producen en forma concomitante: acceso indebido a sistemas, daño informático y extorsión.

La Ley de Datos Personales actual no obliga todavía a las entidades públicas o privadas cuyos sistemas resulten vulnerados a informar a las víctimas, y el proyecto para actualizar esa norma está frenado. En la Unión Europea, las instituciones deben denunciar en un plazo no mayor a 72 horas y, de lo contrario, son pasibles de multas millonarias.

Quiénes fueron víctimas de ramsonware en la Argentina

En este marco, en la Argentina entre 2019 y lo que va de 2023 ya fueron cajeados las siguientes 40 entidades, según informe publicado por Marcela Pallero:

4 agosto 2019: Policía Federal

25 noviembre 2019: Poder Judicial San Luis

20 julio 2020: Suprema Corte Buenos Aires, Ministerio de Salud San Luis y Telecom

4 septiembre 2020: Migraciones

15 noviembre 2020: Cencosud y tarjetas de pago

20 noviembre 2020: Caminos de la Sierra, Córdoba

12 octubre 2021: Mega incidente Registro Nacional de las Personas – Ministro de Salud

19 noviembre 2021: Ministerio Fiscal porteño

11 enero 2022: Senado de la Nación

10 marzo 2022: Mercado Libre y Globant

31 marzo 2022: Ingenio Ledesma

3 abril 2022: Transportadora Gas del Sur

22 abril 2022: CONICET

31 mayo 2022: Grupo Clarín

27 junio 2022: OSDE

18 julio 2022: Hospital Pediátrico Garrahan

5 agosto 2022: Justicia de Córdoba

22 agosto 2022: Aceitera Gral Deheza

9 septiembre 2022: Legislatura de la Ciudad de Buenos Aires

21 septiembre 2022: Ministerio de Economía

14 octubre 2022: Poder Judicial Santa Cruz

20 octubre 2022: Aerolíneas Argentinas

22 octubre 2022: Ministerio de Salud

29 noviembre 2022: ARSAT

2 diciembre 2022: Cetrogar

3 diciembre 2022: INDEC

4 diciembre 2022: Clarín

7 diciembre 2022: Rapipago

2 enero 2023: Poder Judicial San Juan

16 febrero 2023: Grupo Albanesi (gas)

21 febrero 2023: La Segunda Seguros

10 marzo 2023: Garbarino

4 abril 2023: Superintendencia de Seguros

20 abril 2023: ANMAT

1 mayo 2023: INTA

11 mayo 2023: carga de tarjetas Córdoba, Salta y Tucumán (Bizland)

11 mayo 2023: sistema de descuentos de farmacias (Farmalink)

29 mayo 2023: Canal YouTube Senado de Mendoza

6 junio 2023: Hospital Castro Rendón

7 junio 2023: CNV

En el mundo, los hackers han atacado petroleras, aeronáuticas, casinos, organismos públicos, clínicas, escuelas e iglesias.

La situación del ransomware es una gran preocupación en empresas y gobiernos de todo el mundo. A pesar de que la rentabilidad de este negocio criminal bajó de 2021 a 2022 -según un estudio de Chainanalysis, pasó de u$s766 millones a u$s457 millones-, los ataques y las nuevas cepas están en crecimiento.