Infonavit se convierte blanco de ciberataques, invierten millones en ciberseguridad

El Instituto del Fondo Nacional de la Vivienda para los Trabajadores (Infonavit) está realizando inversiones importantes para reforzar sus sistemas de ciberseguridad, luego de que recibiera múltiples ataques cibernéticos en los últimos años, y ante la amenaza que este tipo de prácticas seguirá representando para su operatividad.

De acuerdo con registros proporcionados por el organismo vía transparencia, en el periodo 2017-2023 recibió 111 ciberataques que lograron causarle afectaciones en distintos grados; por su parte, en los años 2022 y 2023 detectó además mil 387 millones 572 mil 383 intentos por vulnerar sus esquemas de ciberseguridad, clasificados como “eventos de seguridad bloqueados”.

El inicio del proyecto

Esta información en materia de ciberseguridad se brinda sobre esos años específicos pues fue apenas desde el año 2017 que la misma comenzó a generarse por parte del Instituto, según lo expone su Subdirección General de Tecnologías de la Información-

“El proyecto de ciberseguridad comenzó a operar a partir del año 2017, por lo que no se cuenta con información previa. De igual manera se indica que debido al proceso de madurez, a partir del año 2022 se comenzaron a contabilizar los eventos de seguridad”.

Con respecto a los países de los que han provenido estos ciberataques contra el Instituto, su Subdirección General de Tecnologías de la Información reportó que no cuentan con la información detallada sin embargo, el top cinco de países atacantes son Rusia, China, Estados Unidos, Brasil e India (folio 330031023000343).

#SaberGastar | Ya es octubre, mes de la concientización sobre la ciberseguridad y en Saber Gastar te contamos lo necesario para protegerte ¿Qué son los ciberataques? ¿Qué es el phishing? ¿Por qué es importante proteger nuestros datos? https://t.co/nYrP1nVipC

— Reporte Índigo (@Reporte_Indigo) October 11, 2022

Estructura estatal, el blanco

También detalló que la mayoría de los ciberataques que lograron penetrar sus sistemas de protección estuvieron dirigidos hacia su estructura central, aunque la proporción de los ataques que recibieron sus delegaciones tampoco fue menor.

“67 incidentes de seguridad a nivel central, 44 Incidentes de seguridad a nivel delegacional y mil 387 millones 572 mil 383 eventos de seguridad bloqueados a nivel central”.

La información muestra que durante los años 2022 y 2023 la incidencia de ciberataques contra el Instituto se disparó hasta el grado de concentrar 103 de los 111 casos registrados en el periodo.

La gravedad de los daños que causaron se jerarquizó de esta manera: 1 alto, Denegación Distribuida de Servicio a nivel Central. 4 medios, Archivos maliciosos en servidores no críticos de DMZ, sin impacto. 106 bajos, Phishing y Malware por USB, afectando a usuarios finales.

Entre estos ciberataques también se detectaron tres 3 incidentes de robo de información, en los que robaron claves de usuario en equipo de personal externo guardadas en browser.

En los ciberataques no solo se vulneran derechos básicos como la privacidad, sino que esa información se utiliza para hacer estafas y fraudes pic.twitter.com/ssGlH6skfT

— Reporte Índigo (@Reporte_Indigo) September 30, 2022

Inversión y amenaza

En su Plan Estratégico y Financiero 2023-2027, el Infonavit reconoce que está enfrentando un “riesgo tecnológico”, y advierte que continuará teniendo afectaciones por los ataques cibernéticos que se seguirán dirigiendo en su contra.

“El gran avance tecnológico que se ha vivido a nivel global ha promovido que el Infonavit opere a través de diversos sistemas y aplicaciones tecnológicas, mitigando importantes riesgos operacionales pero generando dependencias y riesgos por interrupción, ataques de ciberseguridad o fallas en la infraestructura que tienen el potencial de generar pérdidas económicas y reputacionales”, dice el documento.

El Instituto señala que ha robustecido sus sistemas informáticos, pero prevalecen diversos factores de riesgo.

“Entre los que se encuentran procesos inadecuados, deficiencias en la gestión de la arquitectura y obsolescencia de los aplicativos. (…) Es importante reconocer que las técnicas que utilizan los atacantes son sumamente sofisticadas y cambian constantemente, por lo que es de esperarse que, en los siguientes años, dichos ataques nos afecten directa o indirectamente a través de terceras partes”.

#EnPortada | Con más de 68 mil ciberataques el año pasado, y sin una estrategia de ciberseguridad, la página de la Secretaría de Salud y los sistemas de registro para la vacunación están vulnerables ante ataques criminales https://t.co/5vKB6mXGjL pic.twitter.com/LqUzX6Veyu

— Reporte Índigo (@Reporte_Indigo) February 15, 2021

En el año 2022 se ejercieron 132 millones 960 mil pesos en proyectos de ciberseguridad, mientras que en el 2023 se estiman ejercer otros 288 millones 681 mil 176.12 pesos en el mismo rubro, así lo indica su respuesta.

En algunos pocos casos, el organismo ha logrado identificar a los autores de los ataques que recibió.

“Se cuenta con información de cuatro: 1 del grupo Redsteal y 2 del grupo Raccoon. Se han tenido campañas del grupo emotet, por el tipo de ataque no se puede determinar si ha sido una o varias campañas debido a la fuerte insistencia de los ataques”, señaló.

Equipos secuestrados

El organismo también ha sido víctima de dos ciberataques de tipo ransomware, aquellos que secuestran la información y los dispositivos infectados, y que extorsionan a los afectados solicitándoles un pago de rescate para poder retomar el control de sus equipos.

El primero de estos ocurrió el 10 de abril de 2018, en las Oficinas Centrales, secuestrando la disponibilidad del servidor de un servicio no crítico. El organismo descartó que hubiera realizado algún pago para recuperar su equipo.

“El Instituto no fomenta estas actividades por lo que no realizó pago alguno. (…) Se reestableció el servidor a partir de un respaldo”.

El segundo ocurrió el 13 de julio de 2022, también en las Oficinas Centrales, logrando secuestrar la información de un equipo de cómputo de usuario final, pero nuevamente negó que hubiera realizado algún pago.