Quedan expuestos datos de 58% de la burocracia federal
• Un incidente de seguridad en la información de la SFP dejó a la vista declaraciones de miles de empleados federales.
La dependencia dejó en línea, sin contraseñas ni otros métodos para restringir su acceso, una base de datos con parte de las declaraciones patrimoniales de 58% de los empleados de la Administración Pública Federal.
Un incidente de seguridad de la información de la Secretaría de la Función Pública dejó a la vista de cualquiera parte de las declaraciones patrimoniales de 830,000 funcionarios públicos del gobierno federal (58% de los un millón 427,193 servidores públicos en activo). La información vulnerada, disponible en Internet sin contraseñas ni otras medidas de seguridad, contenía datos personales considerados como “clasificados” por las autoridades de transparencia y forma parte de las declaraciones patrimoniales que los trabajadores de gobierno están obligados a presentar antes del 31 de julio del 2020.
Para la Secretaría de la Función Pública (SFP), el incidente se trató en realidad de “una forma alternativa de acceso a datos públicos”, de acuerdo con el equipo de comunicación social de la dependencia, consultado por El Economista sobre el caso.
Entre los datos personales expuestos era posible encontrar: ingresos netos de los declarantes; bienes inmuebles y vehículos declarados; inversiones, cuentas bancarias y otro tipo de valores declarados; adeudos, pasivos y créditos financieros vigentes, además de datos generales como números telefónicos, direcciones de domicilios particulares, CURP y RFC. Todos estos datos son “clasificados” de acuerdo con la norma decimonovena del acuerdo del 23 de septiembre del 2019 de la Secretaría Ejecutiva del Sistema Nacional Anticorrupción, responsable del diseño de las declaraciones patrimoniales de los empleados del gobierno federal.
Sin embargo, para la SFP la información expuesta “es de naturaleza pública y forma parte de los trabajos de interconexión con la Plataforma Digital Nacional, los datos que contiene pueden consultarse en el sitio: https://servidorespublicos.gob.mx/”, añadió la nota de prensa.
“Se ha puesto en un gran peligro a todos esos funcionarios públicos, porque la información que estuvo disponible es la más susceptible para ser utilizada en el robo de identidad”, advirtió Issa Luna Pla, investigadora del Instituto de Investigaciones Jurídicas de la UNAM.
La base de datos estuvo expuesta por lo menos desde el 6 de mayo y hasta el 30 de junio del 2020 a través del motor de búsqueda en internet Shodan, que indexó los registros con el certificado de seguridad (SSL, Secure Sockets Layer) de funcionpublica.gob.mx el primer miércoles de mayo desde la dirección IP 200.33.31.87. “La vía alternativa de acceso ya se encuentra bloqueada y hemos reforzado las medidas de seguridad”, dijo la SFP.
Durante 56 días en línea y sin restricciones de acceso, la base de datos siguió recibiendo registros con la información patrimonial de los funcionarios públicos que ingresaban al sistema digital Declaranet, creado y administrado por la Secretaría de la Función Pública para cumplir con sus obligaciones de transparencia.
“Se trató de un incidente producido por una mala configuración de seguridad, como suele ocurrir con los clústeres de Elasticsearch”, dijo el analista de seguridad Bob Diachenko. Elasticsearch es un método de configuración de bases de datos que permite trabajar desde múltiples nodos y con tareas diversas.
Diachenko fue quien encontró la base de datos en Shodan y alertó por correo electrónico al subsecretario Luis Gutiérrez Reyes, responsable de Combate a la Impunidad de la SFP, el 30 de junio. Tras la alerta, los técnicos de la Secretaría de la Función Pública cerraron la brecha de seguridad. Diachenko ha revelado otras vulneraciones de datos de ciudadanos mexicanos, como las de la consultora KPMG, la proveedora del Seguro Popular de Michoacán Hova Health, la librería Porrúa o la startup de contabilidad Enconta, de la familia de la reparadora de créditos Resuelve tu Deuda.
De acuerdo con los registros de accesos a la base de datos disponibles en Shodan, una o varias personas que accedieron a esa base de datos exigieron un rescate para evitar una mayor publicidad de la información vulnerada. Los intrusos dejaron mensajes como: “Tienes siete días para contactarnos” y “Contáctanos o tu información será divulgada” y dos correos electrónicos. “No se pagó ningún tipo de rescate”, afirmó la Secretaría en su nota de prensa.
“El problema real es que las bases de datos que han estado expuestas en línea son susceptibles de replicarse y una vez que están en la web es muy difícil limitar de nueva cuenta el acceso. Por más que se tomen medidas inmediatas para bajar la información o restringir el acceso, nada garantiza que no se haya reproducido por otra vía”, comentó sobre el incidente María Solange Maqueo, académica del CIDE y experta en protección de datos personales.
La ley de protección de datos personales de las entidades del gobierno obliga a la SFP a informar a los titulares de los datos personales vulnerados, en este caso los 830,000 servidores públicos, sobre la naturaleza del incidente, la información comprometida, las recomendaciones para proteger sus intereses, las acciones correctivas tomadas inmediatamente después de conocido el incidente y los medios para obtener más información (artículo 41). La Secretaría de la Función Pública no respondió a una pregunta expresa sobre este punto.
“En la Secretaría de la Función Pública está en curso una investigación para deslindar responsabilidades y reforzar aún más nuestras medidas de control”, señaló la nota de prensa de la dependencia.
Toca a la propia Secretaría realizar la auditoría sobre este incidente y determinar las responsabilidades de los funcionarios públicos involucrados.
Se ha puesto en un gran peligro a todos esos funcionarios públicos, porque la información que estuvo disponible es la más susceptible para ser utilizada en el robo de identidad”.
Issa Luna Pla, UNAM.