Ciberatac a la CASS: exposades les dades personals d'un nombre elevat d'afiliats

La Caixa Andorrana de Seguretat Social (CASS) ha detectat un incident de ciberseguretat que ha permès a tercers no autoritzats accedir a les dades personals d'un nombre elevat d'afiliats. 

L'organisme ha confirmat que els atacants han aconseguit consultar informació identificativa dels assegurats a través del portal d'empreses, després d'utilitzar certificats digitals sostrets a diversos declarants.

Segons ha informat la CASS aquest dijous, els responsables de l'accés indegut han aprofitat una funcionalitat del sistema per obtenir noms, cognoms, sexe, dates i llocs de naixement de persones afiliades a la Seguretat Social andorrana.

L'organisme assegura que no s'ha detectat cap accés a dades sanitàries, econòmiques ni relatives a les prestacions, tot i que reconeix que la informació exposada podria ser utilitzada per intentar suplantar la identitat dels afectats.

Els atacants han provat múltiples combinacions de NIA

L'incident s'ha produït a través del portal d'empreses de la CASS, una plataforma que permet als declarants gestionar determinats tràmits relacionats amb els treballadors.

Segons la informació facilitada per l'organisme, els atacants han aconseguit entrar a les àrees privades de diversos declarants mitjançant certificats digitals de la CASS que havien estat sostrets prèviament.

Una vegada dins, han aprofitat una eina que permet consultar les dades associades a un número d'identificació administrativa (NIA).

Aquesta funcionalitat està pensada perquè les empreses puguin verificar la identitat dels treballadors en el moment de donar-los d'alta.

Tanmateix, els responsables de l'accés indegut han utilitzat aquest mecanisme per provar múltiples combinacions de sis xifres i una lletra, fins a identificar un nombre elevat de NIA vàlids.

D'aquesta manera, han pogut obtenir les dades personals associades als identificadors localitzats.

La CASS no ha concretat, de moment, quants afiliats han resultat afectats ni durant quant de temps s'hauria produït l'accés indegut.

Quines dades personals han quedat exposades?

D'acord amb la informació comunicada per la Seguretat Social, les dades consultades pels atacants són les següents:

• Nom i cognoms dels afiliats.

• Sexe de les persones identificades.

• Data de naixement.

• Lloc de naixement.

• Número d'identificació administrativa (NIA) associat a les consultes.

La CASS insisteix que l'incident no ha comportat un accés directe a les bases de dades internes ni als sistemes d'emmagatzematge de la informació dels assegurats.

Per aquest motiu, assegura que no s'han vist compromeses les dades mèdiques, les dades econòmiques ni la informació relacionada amb les prestacions socials.

No obstant això, l'exposició de dades identificatives pot tenir conseqüències per als afectats, especialment si aquesta informació es combina amb altres dades obtingudes per vies diferents.

La CASS alerta del risc de suplantació d'identitat

Un dels principals riscos identificats per l'organisme és que les dades exposades puguin facilitar intents de suplantació d'identitat, comunicacions fraudulentes o sol·licituds d'informació personal.

La Seguretat Social recorda que el NIA no és un document oficial d'identitat, però sí que constitueix un identificador administratiu permanent.

Això significa que, combinat amb noms, cognoms i altres dades personals, podria ser utilitzat per intentar superar processos de verificació insuficients en determinats serveis.

La CASS adverteix que aquesta situació podria facilitar que tercers es fessin passar per una altra persona davant d'organismes o entitats que no disposin de mecanismes adequats per comprovar la identitat dels usuaris.

Malgrat aquesta possibilitat, l'organisme assegura que actualment no té constància de cap ús fraudulent de les dades relacionat amb l'incident.

La Policia i les autoritats de ciberseguretat investiguen els fets

Tan bon punt ha detectat l'accés indegut, la CASS ha activat els protocols de seguretat previstos per a aquest tipus d'incidents.

L'organisme afirma que ha adoptat mesures tècniques i organitzatives per contenir l'atac i evitar que es pugui repetir.

També ha comunicat els fets a les autoritats competents, entre les quals hi ha:

• La Policia d'Andorra.

• L'Agència Andorrana de Protecció de Dades (APDA).

• L'Agència Nacional de Ciberseguretat d'Andorra.

La investigació continua oberta per determinar l'abast real de l'incident, el nombre d'afiliats afectats i les circumstàncies en què s'ha produït l'accés no autoritzat.

Mentrestant, la CASS assegura que el portal d'empreses ja funciona amb normalitat i que els serveis habituals continuen operatius.

Què han de fer els afiliats de la CASS?

Davant la possibilitat que les dades identificatives puguin ser utilitzades de manera fraudulenta, la Seguretat Social recomana als afiliats extremar les precaucions davant de trucades, correus electrònics o missatges sospitosos.

En particular, demana no facilitar informació personal o confidencial a persones o entitats de les quals no es pugui verificar la identitat.

També és recomanable desconfiar de comunicacions que sol·licitin dades addicionals utilitzant informació personal que aparentment només hauria de conèixer una administració.

En cas de detectar qualsevol activitat sospitosa, els ciutadans poden posar-se en contacte amb la CASS a través dels canals següents:

• Telèfon: 870 870

• Correu d'atenció: cau@cass.ad

• Protecció de dades: dpd@cass.ad

També poden comunicar qualsevol intent de suplantació d'identitat o activitat fraudulenta a la Policia.

La CASS insisteix que no s'ha detectat cap utilització fraudulenta de les dades fins ara, però manté oberta la investigació per esclarir completament l'incident i determinar-ne les possibles conseqüències.