Ayuntamientos y ciberataques: por qué son un objetivo

Ayuntamientos en el punto de mira de los ciberdelincuentes

Padrón, licencias, multas, nóminas, ayudas sociales, registros de entrada y salida. Un ayuntamiento, por pequeño que sea, gestiona a diario una cantidad enorme de datos personales y presta servicios que los vecinos no pueden dejar de recibir. Esa combinación, información valiosa y urgencia por volver a funcionar, es exactamente lo que buscan los grupos de ciberdelincuentes que viven de secuestrar sistemas y pedir rescates.

Por qué los ayuntamientos son un objetivo atractivo

A diferencia de una empresa, un consistorio no puede cerrar unos días y esperar. Si el sistema cae, se paralizan los pagos a proveedores, los trámites de los vecinos y, en algunos casos, servicios sociales que atienden a personas vulnerables. Los atacantes lo saben y cuentan con esa presión para que la institución ceda.

España ya conoce el impacto. En septiembre de 2023, un ataque de ransomware dejó durante días sin buena parte de sus servicios informáticos al Ayuntamiento de Sevilla, uno de los casos más sonados en el país. Durante la recuperación de los equipos se resintieron la tramitación de expedientes y la atención a los vecinos.

La exposición de datos del personal público es otra cara del problema. En junio, un caso de doxxing en España, con un sospechoso detenido, dejó al descubierto datos de fiscales, policías y profesionales de la ciberseguridad. Quien quiera seguir este tipo de incidentes encontrará la cobertura del caso, junto a otras noticias recientes sobre filtraciones que afectan a organismos españoles, en https://cybernews.com/es/.

Cómo suelen empezar los ataques

La entrada casi nunca es sofisticada. Un correo que suplanta a un proveedor habitual o a otra administración, con una factura o una notificación adjunta, sigue siendo el método más común. Basta con que un empleado abra el archivo o introduzca su contraseña en una página falsa para que los atacantes tengan un pie dentro.

Otras vías frecuentes son los accesos remotos mal protegidos, habilitados a toda prisa para el teletrabajo, y los equipos o programas sin actualizar. Una vez dentro, los delincuentes suelen pasar días o semanas explorando la red, copiando información y localizando las copias de seguridad antes de cifrar los sistemas. Así pueden amenazar con publicar los datos además de bloquearlos.

Los proveedores son otro punto débil. Muchos ayuntamientos comparten aplicaciones de gestión, plataformas de cita previa o servicios de nube con decenas de municipios. Si uno de esos proveedores sufre un ataque, el problema puede extenderse a todos sus clientes a la vez, algo que obliga a revisar con lupa los contratos y las garantías de seguridad que se exigen.

Los municipios pequeños, más expuestos

En una región con muchos municipios de pocos habitantes, como Extremadura, el problema tiene un matiz propio. Muchos ayuntamientos no cuentan con un informático en plantilla y dependen de los servicios que prestan las diputaciones provinciales o de empresas externas. El secretario o un administrativo acaban asumiendo tareas tecnológicas para las que nadie les ha formado.

Eso no significa que estén indefensos. Las administraciones públicas españolas deben cumplir el Esquema Nacional de Seguridad, y el CCN-CERT, el equipo de respuesta a incidentes del Centro Criptológico Nacional, ofrece guías, herramientas y apoyo específicos para entidades locales. La clave está en aprovecharlos y en no ver la ciberseguridad como un asunto exclusivo de los ayuntamientos grandes.

El presupuesto también pesa. En un consistorio pequeño, una partida para ciberseguridad compite con el arreglo de un camino o el mantenimiento del colegio, y suele perder. Por eso las soluciones mancomunadas, en las que varios municipios comparten servicios técnicos y contratos, resultan especialmente útiles en el medio rural.

Qué pueden hacer los equipos municipales

Hay medidas que no requieren grandes presupuestos. La primera es la verificación en dos pasos en el correo y en los accesos remotos, que frena buena parte de los robos de contraseñas. La segunda, copias de seguridad desconectadas de la red y probadas con regularidad, para poder recuperar los sistemas sin negociar con nadie.

La tercera es la formación. Una sesión al año para todo el personal, con ejemplos de correos falsos reales, rinde más que cualquier programa caro. La cuarta, un plan de respuesta sencillo: a quién llamar, cómo desconectar los equipos afectados y cómo seguir atendiendo a los vecinos mientras tanto. Compartir experiencias a través de la Federación Española de Municipios y Provincias o de las propias diputaciones ayuda a no partir de cero.

El papel de los vecinos

La ciudadanía también forma parte de la ecuación. Cuando un ayuntamiento sufre un ataque, aparecen enseguida mensajes falsos que se hacen pasar por él para pedir pagos o datos. Ante cualquier comunicación inesperada, lo prudente es comprobarla en la sede electrónica oficial o llamando al consistorio.

Exigir transparencia cuando ocurre un incidente y valorar la inversión en seguridad como un servicio público más, igual que el alumbrado o la recogida de basuras, es la forma de que la próxima vez el ataque se quede en un susto.