2,6 milions per a Andorra Digital: crisi a la CASS, protecció de dades i responsabilitats

Un accés fraudulent amb certificats digitals sostrets ha permès consultar dades personals de nombrosos afiliats. Al mateix temps que el Govern defensa la nova arquitectura digital de l’Estat, els expedients de la CASS revelen licitacions urgents i contractes tecnològics. Les xifres no demostren cap relació causal amb l’atac, però fan imprescindible una explicació documentada dels controls, la despesa i les responsabilitats.

Una empresa necessita donar d’alta un treballador i entra al portal de la Caixa Andorrana de Seguretat Social per comprovar-ne el número d’identificació administrativa. És un tràmit corrent, d’aquells que es fan sense pensar-hi gaire. La persona que ha facilitat les dades confia que només serviran per a aquella gestió. Però aquesta mateixa funcionalitat ha estat aprofitada per desconeguts que, amb certificats digitals sostrets a declarants empresarials, han pogut consultar informació identificativa de nombrosos afiliats. L’escena no té res de cinematogràfica: no cal imaginar una irrupció espectacular al cor dels servidors. Segons la mateixa CASS, els intrusos es van autenticar amb credencials robades i van utilitzar una eina ordinària d’un servei públic.

El comunicat oficial de la CASS, datat l’11 de novembre del 2026, explica que els atacants van introduir múltiples combinacions de sis números i una lletra per trobar NIA vàlids. Quan el sistema reconeixia un identificador, retornava nom, cognoms, sexe, data i lloc de naixement. La institució sosté que no s’ha detectat cap accés directe a les bases de dades centrals ni a informació sanitària, econòmica o sobre prestacions. No hi ha, per tant, cap base documental per publicar que s’han robat historials mèdics o dades de pensions. Però la informació personal que sí es va poder consultar ja té valor per a qui vulgui preparar suplantacions d’identitat o estafes convincents. L’Agència Nacional de Ciberseguretat ha alertat d’aquest risc, i la CASS admet que encara investiga l’abast exacte de l’incident.

Hi ha una diferència que l’explicació institucional no resol: una cosa és acreditar-se davant un portal i una altra, poder consultar les dades de qualsevol persona que hi estigui registrada. La primera operació és l’autenticació; la segona depèn de les autoritzacions i dels límits del sistema. Si una empresa havia de verificar la identitat d’un treballador concret, qui havia comprovat que aquella funció no podia convertir-se en una cerca successiva de tercers? Existien controls de freqüència, avisos per consultes anòmales o comprovacions de la finalitat laboral? La resposta no consta en la informació pública. És massa aviat per donar per demostrada una negligència tècnica, però també ho és per donar el cas per explicat amb quatre paraules: «havien robat els certificats».

Què sabia la CASS, des de quan i qui ho supervisava?

La comunicació es va fer pública el 12 de novembre. Aquesta data no és necessàriament la de l’atac, ni la del primer accés, ni tan sols la de la detecció. Per reconstruir la història cal saber quan es van sostreure les credencials, quan es van començar a provar NIA, quant de temps van durar les consultes, en quin moment se’n va adonar la institució i quan es van avisar les autoritats i els afectats. Aquesta cronologia determinarà si la resposta va ser ràpida i permetrà comprovar el compliment de les obligacions legals de notificació. El nombre exacte de persones afectades i la possible circulació posterior de les dades tampoc no estan establerts públicament. Corregir una aplicació pot tancar un accés, però no esborra la informació que algú ja hagi obtingut.

Els responsables institucionals no són anònims. Marc Galabert Macià presideix el Consell d’Administració de la CASS; Josep Escoriza Martínez n’és el director general i Alfred Alcon Beltran dirigeix Sistemes d’Informació. El Govern designa quatre dels vuit membres del Consell. Aquests càrrecs no són una prova de culpa, però permeten identificar on s’han de cercar els informes de seguretat, les decisions sobre el portal, els encàrrecs de manteniment i les actes de supervisió. Jordi Ubach, director de l’Agència Nacional de Ciberseguretat, ha advertit de les conseqüències que pot tenir la informació exposada. La investigació policial és imprescindible per trobar els autors de l’accés il·lícit; l’examen de la gestió de la CASS és una responsabilitat diferent, que no desapareix perquè l’atacant continuï sense nom.

Quatre concursos urgents i dos contractes: què s’estava modernitzant?

El 6 d’octubre, poc més d’un mes abans de la divulgació pública de l’incident, el Consell d’Administració de la CASS va aprovar quatre licitacions urgents. La documentació publicada al BOPA inclou la modernització de les aplicacions antigues, una nova plataforma d’administració electrònica, la renovació de les xarxes de comunicacions i de la seguretat perifèrica, i una consultoria per coordinar la implantació de l’administració electrònica. Les obertures d’ofertes es van fixar per als dies 3 i 4 de novembre. Cap d’aquests documents demostra que la institució conegués l’atac, ni que els concursos fossin la resposta a la vulnerabilitat de la consulta NIA. La urgència administrativa pot tenir diverses explicacions. Justament per això interessen els informes de necessitat: quins riscos es van identificar, quins sistemes es consideraven obsolets i si s’havien previst mesures provisionals mentre es preparava la renovació.

Aquell mateix 6 d’octubre es van adjudicar dos contractes que ajuden a reconstruir el mapa de proveïdors. La CASS va encarregar a Seidor And, SLU, per 73.150 euros, IGI inclòs, la implantació del correu i calendari corporatius Microsoft 365, fent servir un acord marc d’Andorra Digital. També va adjudicar a Deloitte Andorra, per 92.482,50 euros, un encàrrec per optimitzar el sistema de control intern de la parapública, amb vigència prevista fins al desembre del 2027. Ni el correu corporatiu ni aquest contracte de control intern s’han acreditat com a origen del ciberatac, i tampoc consta que les empreses esmentades fossin responsables de la funció de verificació del NIA. Seria injust convertir una adjudicació pública en una acusació. El que sí correspon exigir és saber qui havia desenvolupat aquella eina concreta, qui la mantenia i qui n’avaluava els riscos.

Enmig d’aquestes adjudicacions apareix Andorra Digital, la nova societat pública impulsada per l’executiu. La Llei 19/2025 estableix que el Govern en controla el 75% del capital i Andorra Telecom el 25%. El Consell d’Administració està presidit pel ministre Marc Rossell i té Ester Molné, titular de Justícia i Interior, a la vicepresidència; la direcció correspon a David Vicente. El seu pressupost per al 2026, d’uns 2,6 milions d’euros, va provocar un debat al Consell General el 22 d’octubre. Concòrdia, el grup Socialdemòcrata i Andorra Endavant van qüestionar el solapament d’estructures, mentre Rossell defensava que es traslladaven recursos ja existents i que no es generava nova despesa. La xifra és el pressupost global d’Andorra Digital, no una dotació identificada per protegir el portal de la CASS, i encara no consta que la societat operés l’aplicació afectada. Aquestes precisions no anul·len el debat: el fan més exigent, perquè obliguen a separar les consignacions pressupostàries de les funcions efectivament exercides.

El 6 de novembre, sis dies abans que la notícia de la CASS arribés als mitjans, David Vicente reivindicava públicament el paper de les capacitats de ciberseguretat del país i advertia que, sense una agència especialitzada, Andorra podria quedar «escombrada del mapa». No és cap prova que conegués la intrusió: la seva declaració formava part del debat sobre la nova societat. Però el contrast és rellevant. Quan es reivindiquen institucions i pressupostos per protegir el país digital, l’eficàcia d’aquella protecció ha de poder-se sotmetre a verificació, especialment davant un incident real en un organisme que gestiona dades de la població. La pregunta no és si convé modernitzar Andorra, sinó quina part d’aquesta modernització és comprovable per la ciutadania i pel Parlament.

El dret a saber què va fallar

La Llei qualificada 29/2021 de protecció de dades personals estableix obligacions que van més enllà de disposar de contrasenyes o certificats. L’article 28 regula la protecció de dades des del disseny i per defecte, i el 35 exigeix mesures tècniques i organitzatives adequades al risc, així com una avaluació regular de la seva eficàcia. Si una consulta pensada per verificar una alta laboral permetia recuperar repetidament identitats alienes, cal examinar-ne els permisos, la quantitat d’informació retornada i els mecanismes de detecció d’abusos. Això no significa que una institució hagi d’aconseguir una seguretat infal·lible; significa que ha de demostrar que ha adoptat precaucions proporcionades a les dades que custodia i a les amenaces que podia raonablement preveure.

Els articles 36 i 37 regulen la comunicació de les violacions de seguretat a l’Agència Andorrana de Protecció de Dades (APDA) i, si concorren els requisits legals, a les persones afectades. La notificació a l’autoritat s’ha de fer sense dilació indeguda i, si és possible, dins de les 72 hores posteriors al coneixement de l’incident. No es pot afirmar que la CASS incomplís aquest termini sense saber quan el va detectar; per això mateix, la data de detecció i els justificants de notificació són documents essencials. La institució ha explicat que ha informat la Policia, l’APDA i l’Agència Nacional de Ciberseguretat. Ara cal conèixer, amb el detall compatible amb la investigació, el resultat de les comprovacions i les mesures de protecció dels afiliats.

L’article 74 afegeix una responsabilitat institucional especialment concreta. Per a entitats públiques i parapúbliques, la llei preveu amonestacions i mesures correctores quan s’acrediten infraccions, així com la possible proposta d’actuacions disciplinàries. Si les infraccions fossin imputables a autoritats o directius i es demostrés que van desatendre informes tècnics o recomanacions, el precepte estableix conseqüències específiques d’amonestació amb identificació del càrrec i publicació oficial. Ara mateix no hi ha proves públiques que permetin acusar cap directiu de la CASS d’haver ignorat un advertiment sobre aquesta funcionalitat. Però aquesta norma fa que els informes de seguretat anteriors, les dates en què es van elevar i les decisions que se’n van derivar siguin tan importants com els registres dels atacants. La via penal ha d’investigar conductes tipificades i persones determinades; la via administrativa ha d’examinar els deures de protecció de dades; la responsabilitat política exigeix explicacions sobre gestió i prioritats. Són tres plans diferents que no s’han de barrejar ni substituir els uns pels altres.

També hi ha un Reglament d’actuació administrativa automatitzada de la CASS, aprovat el 7 d’octubre, que exigeix designar òrgans responsables de les especificacions, el manteniment, la supervisió i el control de qualitat dels procediments inclosos en el seu àmbit. No consta que la comprovació de NIA afectada formi part dels procediments habilitats per aquest reglament; atribuir-li una infracció seria precipitat. Però la seva existència recorda que els sistemes automatitzats no es governen sols: darrere d’una funció informàtica hi ha decisions humanes, documents i competències que poden identificar-se.

Les coincidències polítiques no substitueixen les proves

El 5 de novembre Xavier Espot es va reunir amb Volodímir Zelenski a Madrid; set dies després es feia pública la crisi de la CASS. La proximitat temporal és exacta, però no es coneix públicament quan va començar l’accés fraudulent, i cap prova disponible no el vincula amb Rússia, Ucraïna ni amb una represàlia diplomàtica. El mateix passa amb el paral·lelisme establert amb l’incendi de La Querola del setembre: la primera inspecció policial no va trobar indicis aparents de criminalitat i no hi ha elements públics que connectin els dos episodis. Una cronologia pot plantejar preguntes, però una atribució d’autoria exigeix evidència forense. També convé deixar fora d’una imputació tècnica sense base empreses com NVIDIA o Oracle: que apareguin al debat sobre tecnologia andorrana no demostra que gestionessin el portal vulnerat.

Tampoc no existeix cap prova que els certificats empresarials sostrets comprometessin el cens o un sistema de vot de cara al 2027. La impugnació electoral presentada per Emili Campos el 2023, posteriorment desestimada pel Tribunal Constitucional, tractava garanties d’un altre procediment i no acredita un frau informàtic. Sí que reforça una exigència de principi: els sistemes d’identificació i els procediments electorals han de ser verificables de manera independent. En un Estat que concentra serveis digitals, separar funcions i custodiar els registres d’accés és una garantia democràtica, no un privilegi tècnic.

L’avís sobre els riscos de concentració tecnològica tampoc no és nou. En un article publicat el 18 de novembre del 2025, Josep Guirao ja qüestionava les garanties de supervisió i transparència d’Andorra Digital; el llibre Demòcrates per Andorra, de setembre del 2026, desenvolupava les mateixes preocupacions. Aquells textos no van anticipar el mètode concret de la intrusió de la CASS, però sí que van formular una pregunta vigent: qui audita els organismes que concentren informació i capacitats tecnològiques de l’Estat? La resposta no pot dependre de la confiança personal en els seus directius ni de la sigla del govern de torn.

Per a les persones afectades, la discussió sobre qui signa els contractes o presideix els consells d’administració pot semblar llunyana. El que volen saber és més senzill: quines dades s’han consultat, qui les pot tenir, quins riscos comporten i què han de fer a partir d’ara. Per als responsables públics, les preguntes són més extenses: qui va autoritzar la consulta NIA, quins controls es van provar, si existien informes de vulnerabilitats, quan es va detectar l’abús i per què les consultes no es van aturar abans. La CASS ha de donar resposta sobre el seu servei; el Govern, sobre les polítiques i els nomenaments que supervisa; els organismes de control, sobre les comprovacions que estan obligats a fer. Cap d’aquestes preguntes no requereix inventar culpables. Requereix documents.

Els 2,6 milions d’Andorra Digital no són el cost d’aquest ciberatac ni una prova que la societat hagi fallat en un servei que encara no consta que operés. Són, però, una quantitat de diners públics que obliga a explicar què es financia i com se’n mesura el resultat. La CASS, mentrestant, custodia informació que els ciutadans no poden decidir deixar de facilitar-li. Per això, quan una porta digital s’obre a qui no hi havia d’entrar, la resposta no pot acabar en el relat de les claus robades. Ha d’incloure qui va dissenyar la porta, qui n’havia de comprovar el pany i qui respon davant dels ciutadans quan la seguretat que se’ls havia promès no ha estat suficient.