Mientras jugaba la Selección, hackeaban los sistemas de la AFA
Un acceso no autorizado a las cuentas de correo del organismo encendió las alarmas en pleno torneo. Análisis de un caso que expone las vulnerabilidades cotidianas y el valor de la prevención.
El pasado 8 de julio, un actor identificado como “Hossam Hassan” ofreció en foros especializados una supuesta base de datos robada de AFA.com.ar, con correos, contraseñas, DNI, teléfonos, IPs y fotos de perfil de usuarios. Sin pruebas técnicas de por medio, especialistas pidieron cautela desde el primer momento.
Un día después, la AFA confirmó lo que sí era real: el acceso no autorizado a una cuenta de AFA Medios, desde la cual se enviaron a periodistas correos con críticas al arbitraje del triunfo ante Egipto (“Argentina no ganó. La victoria fue arrebatada por decisiones arbitrales corruptas”). El ataque fue reivindicado por el grupo egipcio “Los Faraones”.
La AFA desmintió los mails e inició una auditoría técnica. Sin embargo, pasado el tiempo, el cuadro sigue siendo el mismo: se confirmó el acceso a una cuenta institucional, pero continúa sin confirmarse el robo de la base de datos completa.
Esa distinción entre lo confirmado y lo no confirmado no es un detalle menor: separa un incidente de seguridad acotado de una filtración masiva de datos personales.
“Ahí es donde más nos jugamos como sociedad: en la tentación de dar por cierto lo primero que se publica, en lugar de esperar un análisis concreto del incidente. Una cosa es lo que se anuncia en un foro y otra muy distinta es lo que resiste un análisis sobre lo ocurrido”, destaca Leonardo Gianzone, abogado especializado en derecho digital y director de las carreras de Ciberseguridad de la Universidad del Gran Rosario (UGR).
Desde la firma de seguridad ESET Latinoamérica analizaron el episodio y aportaron el dato más útil para entender cómo suelen ocurrir este tipo de ataques: incidentes de este tipo suelen relacionarse con el robo de credenciales a través de campañas de phishing, el uso de contraseñas comprometidas en filtraciones anteriores o la ausencia de mecanismos adicionales de autenticación, como el doble factor (2FA).
La firma también aclaró un punto importante para no sobredimensionar el hecho: no hubo evidencia de ransomware ni de una filtración masiva confirmada, aunque sí quedó demostrado el interés creciente de los cibercriminales por los eventos masivos y de alta exposición pública, los cuales multiplican el impacto reputacional de cualquier ataque.
Ese último punto explica por qué un torneo masivo se convierte en un blanco tan atractivo: no hace falta comprometer sistemas complejos para generar caos. Alcanza con una sola cuenta de correo mal protegida, en el momento exacto en que millones de personas están mirando.
“Lo llamativo no es la sofisticación del ataque, sino lo contrario: alcanzó una falla básica de ciberseguridad para generar un daño reputacional enorme. Eso debería preocuparnos más que un ataque complejo, porque significa que el mismo error puede ocurrirnos a cualquiera de nosotros, no solo a una entidad con la exposición pública que tiene la AFA”, agrega Gianzone.
El hackeo a la AFA es, en el fondo, un caso de estudio en miniatura de los desafíos actuales de la disciplina: cómo se roba una credencial, cómo se distingue una filtración real de una operación de desinformación, qué evidencia digital hay que preservar para una auditoría y qué responsabilidad legal recae sobre una institución cuando sus sistemas quedan expuestos.
“Acá hay una pregunta que todavía no se hace lo suficiente: si finalmente se confirma que había datos personales comprometidos, ¿qué responsabilidad le cabe a la entidad frente a esas personas?”, reflexiona el especialista de la UGR.
“La ciberseguridad no termina en el firewall o en el antivirus de una organización. Inicia en la toma de conciencia respecto del valor de la información que se almacena. Para protegerla son necesarias medidas técnicas, pero también políticas de capacitación y concientización de los recursos humanos”, explica.
El caso funciona como un recordatorio de que ninguna organización, por masiva o mediática que sea, está exenta de un error básico. El análisis técnico y la formación de profesionales capaces de prevenir, responder y mitigar estos incidentes resulta indispensable en un escenario donde el riesgo cero no existe y donde la información de miles de personas puede quedar comprometida en cuestión de segundos.
Fuente: Lic. Leonardo Gianzone – Director de la carrera de Ciberseguridad de la Universidad del Gran Rosario (UGR).