600 trabajadores públicos de Granada 'pican' en un simulacro de estafa por 'phishing'

El Ayuntamiento de Granada está inmerso en un proceso de mejora de la ciberseguridad interna para evitar ataques informáticos. Y todavía el nivel de vulnerabilidad es alto. Un experimento del área de Innovación lo ha demostrado.

Según ha explicado en comisión el concejal Francisco Herrera, se ha hecho un experimento de phishing con el personal municipal para ver, sin previo aviso, cómo actuaban. El pishing es una estafa que tiene como objetivo obtener a través de internet datos privados de los usuarios, especialmente para acceder a sus cuentas o datos bancarios.

El experimento consistió en enviar 2.200 correos electrónicos a trabajadores y funcionarios de los que 600 entraron en el correo y, lo peor, dieron sus claves. Según Herrera, "si hubiera sido real hubiéramos tenido 600 cuentas secuestradas".

Esto es un ejemplo para saber que hay que seguir con la concienciación para enseñar que no hay que abrir correos sospechosos, que hay que analizar bien el origen y comprobar direcciones y que, sobre todo, "nunca hay que dar claves porque esos datos nunca se piden por correo". Si un hacker informático obtiene esas claves, el nivel de ataque y daño es incalculable.

"Con esta simulación queremos analizar la vulnerabilidad. Usamos una cuenta no oficial y el resultado fue ese", ha explicado el concejal.

El área está trabajando en la nueva herramienta de ciberseguridad. El contrato está preadjudicado y para marzo se espera tener ya activas las herramientas de software que mejorarán la protección informática municipal. Una vez adjudicado definitivamente se comprarán de forma urgente las herramientas necesarias por la situación oscilante de precios.

Servidores de nóminas hackeados para desviar su capital

El Ayuntamiento de Granada tiene el objetivo puesto en mejorar su ciberseguridad, sobre todo tras haber sufrido un acto de pirateo que afectó a varias nóminas de trabajadores. La investigación se inició a primeros de diciembre del año pasado tras una denuncia interpuesta por el Ayuntamiento de Granada, al detectar que cuatro nóminas de trabajadores habían sido manipuladas y el dinero había sido transferido a cuentas ajenas mediante un cambio en la domiciliación bancaria tras un hackeo del servidor. A finales del mismo mes, los investigadores detectaron el ingreso de una quinta nómina en una de las cuentas bancarias que había sido detectada como pertenecientes a esta organización criminal. En este caso, una de las consejerías de Comunidad de Madrid, informó a los investigadores de la existencia de un incidente de seguridad en su sistema informático de características muy similares al ocurrido en Granada.

En abril de este 2022 la Policía informó de que había desarticulado una organización criminal que presuntamente había hackeado sistemas informáticos de instituciones públicas en Madrid y Granada, entre las que se encontraba el Ayuntamiento de la capital granadina.

El método que utilizaban los miembros de este grupo consistía, sirviéndose de unos amplios conocimientos sobre el funcionamiento de los sistemas informáticos adquiridos de manera autodidacta desde muy temprana edad, en introducirse en los programas destinados a la gestión de nóminas para alterar su normal funcionamiento y lograr cambiar la domiciliación bancaria de las mismas. De esta forma, el dinero de cinco nóminas, pertenecientes a trabajadores de estas instituciones, acabó siendo transferido a dos cuentas de dos bancos diferentes que, a su vez, habrían sido abiertas utilizando documentación falsificada. En estas cuentas se detectaron además, otros abonos de una cuantía relevante, presuntamente procedentes de otros fraudes informáticos. Por el momento, el conjunto de todo el capital asciende a una cifra superior a los 53.000 euros.

Tras la obtención fraudulenta del dinero, el siguiente paso consistía en desviar el capital hacia cuentas que la organización criminal poseía. A través de una plataforma de compraventa de activos digitales, el capital conseguido ilícitamente se convertía en criptomonedas, dificultando así la trazabilidad del dinero defraudado.

El desarrollo de esta operación culminó con tres registros domiciliarios, uno de ellos en una vivienda perteneciente al principal investigado, en los que se han intervenido cuatro vehículos deportivos de alta gama valorados en más de 450.000 euros, 70.000 euros en metálico, unos 50 dispositivos informáticos - smartphones, portátiles, discos duros o “ledger”, billetera para la custodia de criptomonedas - y unas 400 tarjetas de débito y crédito tipo “monedero”. Durante la investigación han sido bloqueados más de 170.000 euros en criptomonedas.