Ciberataque a la CASS: expuestos los datos personales de un elevado número de afiliados

La Caixa Andorrana de Seguretat Social (CASS) ha detectado un incidente de ciberseguridad que ha permitido a terceros no autorizados acceder a los datos personales de un elevado número de afiliados. 

El organismo ha confirmado que los atacantes han conseguido consultar información identificativa de los asegurados a través del portal de empresas, después de utilizar certificados digitales robados a varios declarantes.

Según ha informado la CASS este jueves, los responsables del acceso indebido han aprovechado una funcionalidad del sistema para obtener nombres, apellidos, sexo, fechas y lugares de nacimiento de personas afiliadas a la Seguridad Social andorrana.

El organismo asegura que no se ha detectado ningún acceso a datos sanitarios, económicos ni relativos a las prestaciones, aunque reconoce que la información expuesta podría utilizarse para intentar suplantar la identidad de los afectados.

Los atacantes han probado múltiples combinaciones de NIA

El incidente se ha producido a través del portal de empresas de la CASS, una plataforma que permite a los declarantes gestionar determinados trámites relacionados con los trabajadores.

Según la información facilitada por el organismo, los atacantes han conseguido entrar en las áreas privadas de varios declarantes mediante certificados digitales de la CASS que habían sido robados previamente.

Una vez dentro, han aprovechado una herramienta que permite consultar los datos asociados a un número de identificación administrativa (NIA).

Esta funcionalidad está diseñada para que las empresas puedan verificar la identidad de los trabajadores en el momento de darlos de alta.

Sin embargo, los responsables del acceso indebido han utilizado este mecanismo para probar múltiples combinaciones de seis cifras y una letra, hasta identificar un elevado número de NIA válidos.

De esta manera, han podido obtener los datos personales asociados a los identificadores localizados.

La CASS no ha concretado, por el momento, cuántos afiliados han resultado afectados ni durante cuánto tiempo se habría producido el acceso indebido.

¿Qué datos personales han quedado expuestos?

De acuerdo con la información comunicada por la Seguridad Social, los datos consultados por los atacantes son los siguientes:

• Nombre y apellidos de los afiliados.

• Sexo de las personas identificadas.

• Fecha de nacimiento.

• Lugar de nacimiento.

• Número de identificación administrativa (NIA) utilizado para realizar las consultas.

La CASS insiste en que el incidente no ha supuesto un acceso directo a las bases de datos internas ni a los sistemas de almacenamiento de información de los asegurados.

Por este motivo, asegura que no se han visto comprometidos los datos médicos, los datos económicos ni la información relacionada con las prestaciones sociales.

No obstante, la exposición de datos identificativos puede tener consecuencias para los afectados, especialmente si esta información se combina con otros datos obtenidos por diferentes vías.

La CASS alerta del riesgo de suplantación de identidad

Uno de los principales riesgos identificados por el organismo es que los datos expuestos puedan facilitar intentos de suplantación de identidad, comunicaciones fraudulentas o solicitudes de información personal.

La Seguridad Social recuerda que el NIA no es un documento oficial de identidad, pero sí constituye un identificador administrativo permanente.

Esto significa que, combinado con nombres, apellidos y otros datos personales, podría utilizarse para intentar superar procesos de verificación insuficientes en determinados servicios.

La CASS advierte de que esta situación podría facilitar que terceros se hicieran pasar por otra persona ante organismos o entidades que no dispongan de mecanismos adecuados para comprobar la identidad de los usuarios.

Pese a esta posibilidad, el organismo asegura que actualmente no tiene constancia de ningún uso fraudulento de los datos relacionado con el incidente.

La Policía y las autoridades de ciberseguridad investigan los hechos

En cuanto ha detectado el acceso indebido, la CASS ha activado los protocolos de seguridad previstos para este tipo de incidentes.

El organismo afirma que ha adoptado medidas técnicas y organizativas para contener el ataque y evitar que pueda repetirse.

También ha comunicado los hechos a las autoridades competentes, entre las que se encuentran:

• La Policía de Andorra.

• La Agència Andorrana de Protecció de Dades (APDA).

• La Agència Nacional de Ciberseguretat d'Andorra.

La investigación continúa abierta para determinar el alcance real del incidente, el número de afiliados afectados y las circunstancias en las que se ha producido el acceso no autorizado.

Mientras tanto, la CASS asegura que el portal de empresas ya funciona con normalidad y que los servicios habituales continúan operativos.

¿Qué deben hacer los afiliados de la CASS?

Ante la posibilidad de que los datos identificativos puedan utilizarse de manera fraudulenta, la Seguridad Social recomienda a los afiliados extremar las precauciones ante llamadas, correos electrónicos o mensajes sospechosos.

En particular, pide no facilitar información personal o confidencial a personas o entidades cuya identidad no pueda verificarse.

También es recomendable desconfiar de comunicaciones que soliciten datos adicionales utilizando información personal que aparentemente solo debería conocer una administración.

En caso de detectar cualquier actividad sospechosa, los ciudadanos pueden ponerse en contacto con la CASS a través de los siguientes canales:

• Teléfono: 870 870

• Correo de atención: cau@cass.ad

• Protección de datos: dpd@cass.ad

También pueden comunicar cualquier intento de suplantación de identidad o actividad fraudulenta a la Policía.

La CASS insiste en que no se ha detectado ninguna utilización fraudulenta de los datos hasta el momento, pero mantiene abierta la investigación para esclarecer completamente el incidente y determinar sus posibles consecuencias.