Pirates d'Andorra porta el ciberatac a la CASS davant la Fiscalia i l'APDA

El ciberatac a la Caixa Andorrana de Seguretat Social (CASS) ja ha motivat dues noves actuacions davant les institucions encarregades de supervisar la protecció de dades i investigar possibles delictes. 

Pirates d'Andorra (ATTAC), a través del seu departament d'investigació Andorra Justice Watch (AJW), ha presentat una comunicació documentada davant l'Agència Andorrana de Protecció de Dades (APDA) i una denúncia de fets davant la Fiscalia General del Principat.

Els dos escrits, datats el 14 de novembre del 2026, estan signats digitalment per Josep Guirao, que actua en nom propi i com a president i representant de l'entitat.

La iniciativa busca determinar qui va accedir de manera il·lícita a la informació personal dels afiliats, quin ús es va fer de les dades obtingudes i si els sistemes de seguretat de la CASS disposaven de mecanismes suficients per detectar i impedir l'atac. 

Què va passar amb les dades personals de la CASS?

El passat 11 de novembre, la CASS va reconèixer públicament un incident de seguretat provocat per la utilització de certificats digitals sostrets a declarants empresarials.

Segons va explicar la institució, tercers no autoritzats van accedir al portal d'empreses i van aprofitar una funcionalitat que permet consultar números d'identificació administrativa (NIA).

Quan el sistema reconeixia un identificador vàlid, retornava automàticament diverses dades personals: nom, cognoms, sexe, data de naixement i lloc de naixement.

Els atacants van efectuar consultes successives introduint diferents combinacions de números i lletres, fins a identificar un nombre elevat de NIA vàlids i obtenir les dades associades.

La CASS va assegurar que no s'havia detectat cap accés directe a les bases de dades centrals, ni tampoc a informació sanitària, econòmica o relacionada amb les prestacions dels afiliats.

L'organisme també va comunicar que havia activat els protocols de seguretat i informat la Policia, l'APDA i l'Agència Nacional de Ciberseguretat d'Andorra.

Malgrat aquestes explicacions, l'abast exacte de l'incident i el nombre de persones afectades encara requereixen una verificació tècnica.  

La denúncia davant l'APDA assenyala la CASS  

La primera actuació presentada per Pirates d'Andorra s'adreça a l'Agència Andorrana de Protecció de Dades i identifica expressament la CASS com a organisme reclamat.

L'escrit no es planteja com una reclamació individual per una afectació personal acreditada a Josep Guirao, sinó com una comunicació perquè l'autoritat de control examini els fets i valori si correspon iniciar una investigació d'ofici.

Entre altres qüestions, el document demana comprovar quins controls limitaven les consultes de NIA, quins sistemes d'alerta existien, quines auditories s'havien efectuat i quan es va detectar realment l'activitat sospitosa.

També reclama verificar quan es va notificar l'incident a les autoritats competents i si es va informar adequadament les persones potencialment afectades.

Aquest últim punt té una rellevància jurídica especial. L'article 36 de la Llei 29/2021 de protecció de dades personals estableix que les violacions de seguretat que compleixin els requisits legals s'han de notificar a l'APDA sense dilació indeguda i, si és possible, en un termini màxim de 72 hores des que el responsable en té constància. 

La Fiscalia haurà de valorar si hi ha indicis de delicte

La segona actuació és una denúncia de fets presentada davant la Fiscalia General, amb l'objectiu que es determini si els esdeveniments poden tenir rellevància penal.

L'escrit demana investigar qui va sostreure els certificats digitals, qui els va utilitzar per entrar al portal de la CASS i qui va efectuar les consultes no autoritzades.

També planteja aclarir si les dades personals obtingudes van ser emmagatzemades, compartides, cedides o transmeses a terceres persones.

La denúncia va més enllà de la identificació dels possibles autors materials de l'atac i sol·licita examinar si es van produir decisions o omissions amb eventual rellevància penal entre les persones encarregades de dissenyar, mantenir, auditar o supervisar la funcionalitat afectada.

En aquest context, el document identifica, per raó de les seves responsabilitats institucionals, Marc Galabert, president del Consell d'Administració de la CASS; Josep Escoriza, director general, i Alfred Alcon, director de Sistemes d'Informació. 

Quatre licitacions tecnològiques urgents sota examen

Un altre dels aspectes que ATTAC vol aclarir és la possible relació entre els sistemes informàtics de la CASS i quatre licitacions tecnològiques tramitades amb caràcter urgent durant l'octubre del 2026.

La denúncia penal sol·licita examinar la documentació d'aquests procediments per determinar per què es van considerar urgents, quines necessitats pretenien cobrir i si tenien alguna vinculació amb el servei que posteriorment va resultar vulnerat.

El fet que aquestes licitacions siguin anteriors a la comunicació pública del ciberatac no acredita que la institució conegués prèviament l'incident.

L'objectiu de la petició és reconstruir documentalment les decisions adoptades i comprovar si existeix alguna connexió rellevant amb les mesures de seguretat del sistema.

Demanen preservar els registres informàtics abans que desapareguin

Els dos expedients coincideixen en la necessitat de preservar les proves digitals relacionades amb l'incident.

Entre la documentació que es reclama examinar hi ha els registres d'accés al portal, les autenticacions efectuades amb els certificats digitals, les alertes de seguretat, les còpies forenses i els informes d'avaluació de riscos.

Aquesta preservació és especialment important perquè determinats registres informàtics poden desaparèixer amb el temps com a conseqüència dels processos automàtics de rotació o sobreescriptura.

La documentació podria permetre reconstruir quan van començar els accessos indeguts, durant quant de temps es van produir les consultes i quins mecanismes de seguretat van funcionar o van fallar.

Un cas que obre interrogants sobre la protecció de dades  

Pirates d'Andorra emmarca aquestes actuacions en la defensa de la privacitat, els drets digitals i la protecció de les dades personals.

Andorra Justice Watch presenta la iniciativa com una investigació d'interès general i precisa que no actua en representació de persones afectades que no li hagin conferit expressament aquesta facultat.

El cas planteja una qüestió que va més enllà de l'ús fraudulent d'uns certificats digitals: si una funcionalitat del portal permetia obtenir reiteradament informació personal a partir de consultes successives de NIA, cal determinar quins controls havien d'impedir-ne l'explotació massiva.

Ara, correspondrà a l'APDA valorar les possibles implicacions en matèria de protecció de dades i a la Fiscalia decidir les actuacions que consideri pertinents dins de les seves competències.

De moment, no consta cap resolució d'aquests organismes sobre les dues actuacions presentades el 14 de novembre, ni s'ha acreditat cap responsabilitat penal individual.

La investigació haurà d'aclarir no només qui va entrar al portal de la Seguretat Social andorrana, sinó també quines mesures existien per protegir les dades dels afiliats i quines decisions es van adoptar abans i després de detectar l'incident.