Los gobiernos municipales, estatales y federales en México tienen poco o nulo interés por la seguridad informática. De acuerdo con un trabajo de investigación de la firma Seekurity, hay al menos 16 sitios gubernamentales vulnerados y que permanecen en el abandono, y otros cuyos administradores no se han dado cuenta de que alguien los ha hackeado.
Anteriormente Seekurity notificó a instancias como la Comisión Nacional Bancaria y de Valores (CNBV) de algunos riesgos de seguridad en sus sistemas y, aunque reconocieron el problema (mucho tiempo después de nuestras notificaciones), tomaron medidas débiles de seguridad para remediarlo.
Lo crítico: la indiferencia
Ya han ocurrido ataques como los reportados por BAE Systems a entidades mexicanas y, aún así, los gobiernos parecen haber hecho caso omiso de los resultados.
En febrero de 2017, Symantec y BAE Systems alertaron que habían bloqueado intentos de infección ligados a un grupo de hackers norcoreanos, Lazarus Group (sí, el mismo que estuvo involucrado en el robo de 300 millones de pesos al SPEI), contra usuarios en Polonia, México y Uruguay usando el mismo kit de explotación que infectó a bancos polacos.
Los atacantes explotaron Watering Hole para infectar las máquinas de una audiencia específica con un malware previamente conocido. De acuerdo con el análisis publicado por BAE Systems, uno de los dominios utilizados en el ataque contra entidades financieras en Polonia, también estuvo dirigido a la CNBV de México.
También, en junio de 2018, el equipo de Seekurity notificó a la Comisión Nacional Bancaria y de Valores que uno de sus sistemas exponía públicamente información sensible de 1,700 usuarios, documentos e información interna. Dicho sistema pudo haber sido utilizado fácilmente para realizar ataques de tipo Watering Hole contra entidades financieras mexicanas.
Nuestra investigación consistió en identificar todos los sitios relacionados a los dominios de segundo nivel “gob.mx”, los cuales sólo están dirigidos a entidades gubernamentales federales, estatales o municipales (.gob deriva de la palabra en español Gobierno).
Los sitios comprometidos pertenecen a algunos gobiernos como el Estado de México, Sonora, Jalisco, Chiapas, Tlaxcala, Nuevo León, San Luis Potosí, Guerrero, Guanajuato, Veracruz, Hidalgo y Puebla, entre otros.
Los ataques
Listamos algunos ejemplos de cómo un atacante puede aprovechar la inseguridad de estos sitios gubernamentales y engañar a los empleados, aún cuando éstos hayan recibido cursos de concientización en seguridad de la información.
Si algún empleado llega a dudar de la autenticidad de estos sitios, observará que realmente está en una página oficial, pero no se dará cuenta de que un atacante la controla.
Sin embargo, existe una larga lista de sitios gubernamentales hackeados y, en algunos de ellos, los administradores ya han tomado medidas para eliminar los rastros dejados por los atacantes, pero con una simple búsqueda en Twitter (hacked gob.mx) podemos ver a otros investigadores que han reportado otros sitios en el pasado.
Afortunadamente, el Gobierno de México comienza a dar pasos importantes en temas de seguridad de la información y ciberseguridad. Los pasos recientes incluyen:
- La Estrategia Nacional de Ciberseguridad (noviembre 2017)
- La propuesta de creación de una Agencia Nacional de Ciberseguridad Informática (ANSI)
- La iniciativa de Ley de Seguridad Informática
