El Consejo Superior de Investigaciones Científicas (CSIC) sufrió un ciberataque por ransomware hace unas dos semanas. La principal institución científica de España ha pasado este tiempo afectada y los investigadores se quedaron sin poder conectarse a la red interna.

Así lo han denunciado científicos como Pablo Chacón, investigador principal de Bioinformática Estructural, que publicó una ‘carta al director’ en el diario ABC alertando de la situación. Pese a las múltiples quejas, hasta ahora el CSIC no había emitido un comunicado informando de lo ocurrido en el ciberataque. Dos semanas después, el propio Ministerio de Ciencia e Innovación ha dado algunas explicaciones.

Dos semanas sin acceso a internet en la principal institución científica

Según describió hace unas semanas Crónica Global, las dos principales autoridades de ciberseguridad del país fueron informadas. Estas son el CCN-CERT (Centro Criptológico Nacional, dependiente del CNI) y el COCS (Centro de Operaciones de Ciberseguridad). Además del propio CSIC, otras instituciones como el Instituto de Ciencias del Mar, el Centro Nacional de Microelectrónica, el Instituto de Microelectrónica de Barcelona y la Unidad de Tecnología Marina también se han visto afectadas.

“Proyectos de investigación retrasados, comunicaciones cortadas, administración del CSIC bloqueada, miles y miles de euros en pérdidas. Un corte de estas características es impensable en centros como EMBL, CNRS, NASA…”, denunciaba Chacón en la carta titulada como ‘Increíble, pero cierto’.

El ciberataque se detectó durante el fin de semana del 15 al 17 de julio. Para hacer frente al ransomware, los responsables de seguridad apagaron la sede electrónica del organismo para así evitar que se propagase el ataque. A modo de cortafuegos, el CSIC apagó la red privada virtual (VPN) suministrada por Telefónica.

Según explica el Ministerio de Ciencia e Innovación, el ciberataque provenía de Rusia, aunque aseguran “que no se ha detectado pérdida o secuestro de información sensible y confidencial”.

Según explica David Arroyo, investigador del Grupo de investigación en criptografía y seguridad de la información (GiCSI): “El problema es que no se tiene acceso a la estructura de cómputo “desplegada sobre infraestructura de la SGAI [Secretaría General Adjunta de Informática]”.

El propio Arroyo describe que “no es el primer ataque de tipo ransomware que recibe el CSIC. De hecho, al inicio de la invasión rusa de Ucrania se nos instó a ‘apagar los ordenadores durante el fin de semana’. Esa orden ya era indicativa de que había un problema con los servicios de detección temprana de amenazas” y se pregunta, “¿cómo se puede entender que ante un aviso de esa naturaleza no se realizara la instalación de los sistemas EDR que ahora se están desplegando de prisa y corriendo?”.

Sara Degli Esposti, investigadora del Instituto de Políticas y Bienes Públicos, explica que “a día de hoy, seguimos esperando la documentación y el software [#EDR] a instalar en todos los equipos” y alerta de las consecuencias de tener a personas contratadas inoperativas.

Mientras las webs del CSIC ya parecen volver a estar operativas, Juan Antonio Añel Cabanelas, profesor Titular de Física de la Tierra en la Universidad de Vigo, explica que llevan “dos semanas tirando de datos del móvil para todo el trabajo“.
Irene Mendoza, investigadora en la Estación Biológica de Doñana, informa que “hoy hemos tenido algo más de información. La cosa va para largo y tenemos que instalar todos un software de seguridad“, a lo que denuncia que “sigue siendo inconcebible que, después de 15 días, nos queden otros muchos por delante para volver a la normalidad”.

Actualmente, solo una cuarta parte de los centros del CSIC se ha recuperado y la restauración completa todavía puede durar días.

En Xataka | Yo he negociado con los crackers en un ataque ransomware: nos pedían 1 bitcoin o perdíamos toda nuestra información