Anonymous posa en dubte la seguretat de l'empresa que gestionarà el recompte del 21-D

BarcelonaEl grup de 'hackers' d'Anonymous més actiu d'Espaya segons el CNI, La Nueve, ha explicat avui com ha vulnerat la seguretat d'un dels serveis de l'empresa que s'encarregarà de gestionar la digitalització del recompte electoral del 21-D, Indra. Segons han dit els membres del col·lectiu en un apunt al seu blog, van accedir al compte d'Indra a la plataforma de computació al núvol de Microsoft, Azure, deduint-ne la contrasenya d'accés. Amb aquesta acció pretenen posar en dubte la seguretat de l'empresa que digitalitzarà demà els resultats electorals. Fonts d'Indra han admès a l'ARA que van patir la intrusió però asseguren que no ha afectat cap dels seus clients ni la xarxa corporativa. En concret, l'empresa afirma que el servei de processament de dades de les eleccions "és un sistema aïllat de qualsevol altra plataforma", de manera que no podia quedar afectat per la intrusió.

La Nueve ja va difondre el dia 10 que s'havia passat vint dies a l'interior d'una de les aplicacions d'Indra, però fins ara no havia explicat a quina, ni com hi havia accedit o què hi havia fet. Es tracta d'iParticipa, una plataforma basada en la computació al núvol -serveis informàtics en què el client es pot desentendre del maquinari i el programari que els fan possibles- que ofereix eines perquè entitats de tota mena puguin connectar individus i grups. Un dels principals avantatges d'iParticipa, segons Indra, és la "disminució del risc" per als clients. La plataforma ofereix solucions de participació ciutadana per a administracions i fins i tot de "processos electorals". Però fonts d'Indra han assegurat a l'ARA que mentre va durar la intrusió de La Nueve no hi havia cap client actiu i ningú va poder quedar afectat.

Els activistes de La Nueve van trobar els correus electrònics de possibles administradors amb un programa anomenat The Harvester, que localitza aquesta mena d'informació en fonts públiques com ara Google. Així, van trobar un nom d'usuari del qual asseguren que en van poder deduir la paraula clau corresponent perquè, segons la política de contrasenyes d'Indra, era una variació de més de vuit caràcters d'una paraula evident (com ara 'Azure' o 'iParticipa') combinant-la amb números, símbols especials i minúscules i majúscules. Tot i així, no han difós quina era la paraula clau. Indra assegura que l'acció de La Nueve no ha afectat els seus sistemes interns i la companyia manté que aquesta mena d'incidents són molt importants per a ells i que se'ls prenen seriosament. Tan és així que, des que es va fer pública la intrusió, segons La Nueve, Indra "ha eliminat la majoria d'aplicacions i connexions a la plataforma".

Fonts d'Indra han admès a l'ARA que han patit una intrusió en "un espai virtual allotjat a un proveïdor de serveis 'cloud'" que "no té cap connexió" amb la seva xarxa corporativa. L'empresa insisteix que l'accés no autoritzat no ha afectat cap client ni el dia a dia d'Indra. Ni tan sols el servei per gestionar la digitalització del recompte electoral del 21-D, que és un sistema "aïllat" de tots els altres. Però segons La Nueve van ser capaços de muntar servidors virtuals, incloent-n'hi un amb Kali Linux, un sistema operatiu especial per a tasques de seguretat informàtica des d'on asseguren que van preparar atacs informàtics com el que van fer a la web del Col·legi de Metges de Madrid, en represàlia per permetre que s'hi col·legiés un psiquiatra condemnat per matar una noia que es va negar a mantenir-hi relacions sexuals el 2008. La Nueve assegura que també hauria pogut difondre programari maligne o bombardejar amb correus electrònics comptes objectiu per saturar-los tapant el rastre fent-ho des de la plataforma d'Indra al núvol de Microsoft. Fins i tot mantenen que haurien pogut muntar webs falses per aconseguir usuaris i contrasenyes d'internautes incuats amb la tècnica anomenada 'phishing'.

Els 'hackers' de La Nueve es burlen d'Indra dient que es van passar vint dies remenant l'interior de la seva plataforma sense que se n'adonessin mentre anaven donant "pistes" per Twitter. Manté que el "vector d'atac més dèbil" sempre és l'ésser humà mitjançant "l'enginyeria social, el 'phishing', contrasenyes deduïbles o, perquè no, els abusos laborals". El col·lectiu de 'hackers' també critica Indra perquè és un gran proveïdor de la indústria militar, "un niu de portes giratòries" i hauria desviat diners públics al PP.