Caída global del INE por un posible ciberataque

Durante las últimas horas la web del INE (Instituto Nacional de Estadística) de España no está operativa. Algunos usuarios han contactado con la institución pública a través de Twitter, y parte de ellos han obtenido la siguiente respuesta:

«Debido a un problema en los sistemas de comunicaciones, la web del INE no está disponible en estos momentos.
Rogamos disculpe las molestias»

La primera consulta a través de este medio, de las respondidas por la cuenta del INE en Twitter, se ha producido a las 17.50, y ha obtenido respuesta 20 minutos más tarde, a las 18.10. Desde ese momento y hasta ahora, encontramos que han sido siete las consultas respondidas por esta vía a usuarios que estaban intentando acceder a la web del INE y no les resultaba posible. No se ha publicado, sin embargo, un mensaje informando sobre esta caída del servicio.

Adicionalmente, hemos podido obtener esta imagen, presumiblemente de la web del INE antes de que dejara de estar fuera de servicio, en la que se informa sobre un posible ciberataque que estaría afectando a varios elementos clave de la infraestructura electrónica de la administración digital española:

Pese a las indicaciones de dicho mensaje, en las pruebas que he podido efectuar parece que Cl@ve sí que está funcionando en este momento, y lo mismo en accesos con certificados digital, lo que nos indicaría que todos, o al menos parte de los servicios que dependen de la red SARA (Sistema de Aplicaciones y Redes para las Administraciones) podrían haberse restablecido en las últimas horas.

Recordemos que la red SARA, dependiente del Ministerio de Hacienda y Administraciones Públicas interconecta infraestructuras de múltiples instituciones oficiales y proporciona acceso a los usuarios a los servicios de administración digital. Por lo tanto, una caída de la misma puede tener terribles consecuencias, más aún en estos tiempos en los que la pandemia ha incrementado sustancialmente el volumen de operaciones con la administración pública que se efectúan online.

El restablecimiento de servicios de SARA no parece, sin embargo, haber devuelto al funcionamiento la web del INE, que en este momento sigue totalmente caída, sin más explicaciones por ningún medio sobre la razón de ello. De tratarse de un ciberataque, las dos opciones más probables son o un ataque de ransomware o un ataque distribuido de denegación de servicio (DDoS).

Hemos revisado las páginas de información de los principales grupos de ciberdelincuentes especializados en ransomware y de momento ninguno se ha atribuido un ataque al INE. No obstante, seguiremos comprobando dichas páginas de manera regular por si, en cualquier momento, apareciera información al respecto.

De tratarse de un ataque distribuido de denegación de servicio, estaríamos hablando de una buena noticia, pues nos indicaría que no se ha producido una infiltración en la infraestructura del INE. En caso contrario, si la caída de la web del Instituto Nacional de Empleo se debe al apagado de sistemas para detener la propagación de un ataque o el cifrado de los activos, en ese caso la situación ya es más compleja, especialmente si se ha producido exfiltración de los mismos.

De confirmarse el ciberataque a la red SARA y/o al INE, llegaría en un momento particularmente malo por dos razones. La primera es que todavía nos estamos terminando de recuperar del ataque sufrido por el SEPE el mes pasado. Y segundo porque en dos semanas se celebrarán elecciones en la Comunidad de Madrid, y recordemos que el INE es clave en la elaboración del censo electoral, un elemento imprescindible en los comicios electorales. Si se confirmara que ha sido un ataque de ransomware y que los activos digitales del censo se han podido ver comprometidos, está por ver cómo esto podría afectar a las elecciones a la Comunidad de Madrid.

Dado lo tarde que es, lo más probable es que hoy no se produzca ninguna comunicación sobre lo ocurrido, pero mañana permaneceremos atentos tanto a los canales de comunicación del INE y el Ministerio de Hacienda y Administraciones Públicas, como de los blogs de los principales grupos de ransomware, con el fin de intentar determinar si realmente se ha producido un ciberataque y, de ser así, de qué tipo ha sido y qué consecuencias podemos esperar.

Imagen: Luis García (Zaqarbal)