Piratas de Andorra lleva el ciberataque a la CASS ante la Fiscalía y la APDA

El ciberataque a la Caja Andorrana de Seguridad Social (CASS) ha motivado dos nuevas actuaciones ante las instituciones encargadas de supervisar la protección de datos e investigar posibles delitos. 

Piratas de Andorra (ATTAC), a través de su departamento de investigación Andorra Justice Watch (AJW), ha presentado una comunicación documentada ante la Agencia Andorrana de Protección de Datos (APDA) y una denuncia de hechos ante la Fiscalía General del Principado.

Los dos escritos, fechados el 14 de noviembre de 2026, están firmados digitalmente por Josep Guirao, que actúa en nombre propio y como presidente y representante de la entidad.

La iniciativa busca determinar quién accedió de manera ilícita a la información personal de los afiliados, qué uso se hizo de los datos obtenidos y si los sistemas de seguridad de la CASS disponían de mecanismos suficientes para detectar e impedir el ataque.

Las actuaciones también plantean examinar posibles responsabilidades derivadas del diseño, mantenimiento y supervisión del portal afectado. Sin embargo, esto no implica que se haya acreditado ninguna negligencia ni responsabilidad penal individual.

¿Qué ocurrió con los datos personales de la CASS?

El pasado 11 de noviembre, la CASS reconoció públicamente un incidente de seguridad provocado por la utilización de certificados digitales sustraídos a declarantes empresariales.

Según explicó la institución, terceros no autorizados accedieron al portal de empresas y aprovecharon una funcionalidad que permite consultar números de identificación administrativa (NIA).

Cuando el sistema reconocía un identificador válido, devolvía automáticamente varios datos personales: nombre, apellidos, sexo, fecha de nacimiento y lugar de nacimiento.

Los atacantes efectuaron consultas sucesivas de identificadores hasta obtener información asociada a numerosos NIA válidos.

La CASS aseguró que no se había detectado ningún acceso directo a las bases de datos centrales, ni tampoco a información sanitaria, económica o relacionada con las prestaciones de los afiliados.

El organismo también comunicó que había activado los protocolos de seguridad e informado a la Policía, la APDA y la Agencia Nacional de Ciberseguridad de Andorra.

Pese a estas explicaciones, el alcance exacto del incidente y el número de personas afectadas todavía requieren una verificación técnica.

La denuncia ante la APDA señala a la CASS como organismo reclamado

La primera actuación presentada por Piratas de Andorra se dirige a la Agencia Andorrana de Protección de Datos e identifica expresamente a la CASS como organismo reclamado.

El escrito no se plantea como una reclamación individual por una afectación personal acreditada a Josep Guirao, sino como una comunicación para que la autoridad de control examine los hechos y valore si corresponde iniciar una investigación de oficio.

Entre otras cuestiones, el documento solicita comprobar qué controles limitaban las consultas de NIA, qué sistemas de alerta existían, qué auditorías se habían realizado y cuándo se detectó realmente la actividad sospechosa.

También reclama verificar cuándo se notificó el incidente a las autoridades competentes y si se informó adecuadamente a las personas potencialmente afectadas.

Este último punto tiene una especial relevancia jurídica. La Ley 29/2021 de protección de datos personales establece que las violaciones de seguridad que cumplan los requisitos legales deben notificarse a la APDA sin dilación indebida y, si es posible, en un plazo máximo de 72 horas desde que el responsable tiene constancia de ellas.

Sin embargo, la publicación del comunicado de la CASS el 11 de noviembre no permite determinar, por sí sola, si se respetó este plazo. Para ello, sería necesario conocer la fecha exacta en la que la institución tuvo constancia del incidente.

La Fiscalía deberá valorar si existen indicios de delito

La segunda actuación consiste en una denuncia de hechos presentada ante la Fiscalía General, con el objetivo de que se determine si los acontecimientos pueden tener relevancia penal.

El escrito solicita investigar quién sustrajo los certificados digitales, quién los utilizó para acceder al portal de la CASS y quién efectuó las consultas no autorizadas.

También plantea esclarecer si los datos personales obtenidos fueron almacenados, compartidos, cedidos o transmitidos a terceras personas.

La denuncia va más allá de la identificación de los posibles autores materiales del ataque y solicita examinar si se produjeron decisiones u omisiones con eventual relevancia penal entre las personas encargadas de diseñar, mantener, auditar o supervisar la funcionalidad afectada.

En este contexto, el documento identifica, por razón de sus responsabilidades institucionales, a Marc Galabert, presidente del Consejo de Administración de la CASS; Josep Escoriza, director general, y Alfred Alcon, director de Sistemas de Información.

Cabe subrayar que su identificación en el escrito no significa que estén acusados de haber participado en el ciberataque ni que hayan cometido ningún delito.

La determinación de cualquier responsabilidad exigiría acreditar actuaciones u omisiones concretas, así como los deberes que correspondían individualmente a cada uno de los responsables.

Cuatro licitaciones tecnológicas urgentes bajo examen

Otro de los aspectos que Piratas de Andorra quiere esclarecer es la posible relación entre los sistemas informáticos de la CASS y cuatro licitaciones tecnológicas tramitadas con carácter urgente durante octubre de 2026.

La denuncia penal solicita examinar la documentación de estos procedimientos para determinar por qué se consideraron urgentes, qué necesidades pretendían cubrir y si tenían alguna vinculación con el servicio que posteriormente resultó vulnerado.

El hecho de que estas licitaciones sean anteriores a la comunicación pública del ciberataque no acredita que la institución conociera previamente el incidente.

El objetivo de la petición es reconstruir documentalmente las decisiones adoptadas y comprobar si existe alguna conexión relevante con las medidas de seguridad del sistema.

Solicitan preservar los registros informáticos antes de que desaparezcan

Los dos expedientes coinciden en la necesidad de preservar las pruebas digitales relacionadas con el incidente.

Entre la documentación que se reclama examinar figuran los registros de acceso al portal, las autenticaciones efectuadas mediante los certificados digitales, las alertas de seguridad, las copias forenses y los informes de evaluación de riesgos.

Esta preservación resulta especialmente importante porque determinados registros informáticos pueden desaparecer con el tiempo como consecuencia de los procesos automáticos de rotación o sobrescritura.

La documentación podría permitir reconstruir cuándo comenzaron los accesos indebidos, durante cuánto tiempo se produjeron las consultas y qué mecanismos de seguridad funcionaron o fallaron.

Un caso que abre interrogantes sobre la protección de datos en Andorra

Piratas de Andorra enmarca estas actuaciones en la defensa de la privacidad, los derechos digitales y la protección de los datos personales.

Andorra Justice Watch presenta la iniciativa como una investigación de interés general y precisa que no actúa en representación de personas afectadas que no le hayan conferido expresamente esta facultad.

El caso plantea una cuestión que va más allá del uso fraudulento de unos certificados digitales: si una funcionalidad del portal permitía obtener reiteradamente información personal mediante consultas sucesivas de NIA, es necesario determinar qué controles debían impedir su explotación masiva.

Ahora corresponderá a la APDA valorar las posibles implicaciones en materia de protección de datos y a la Fiscalía decidir las actuaciones que considere pertinentes dentro de sus competencias.

Por el momento, no consta ninguna resolución de estos organismos sobre las dos actuaciones presentadas el 14 de noviembre, ni se ha acreditado ninguna responsabilidad penal individual.

La investigación deberá esclarecer no solo quién accedió al portal de la Seguridad Social andorrana, sino también qué medidas existían para proteger los datos de los afiliados y qué decisiones se adoptaron antes y después de detectar el incidente.