Prodhab pide cuentas a Hacienda por ataque que comprometió información de contribuyentes

(CRHoy.com) La Agencia de Protección de Datos de los Habitantes (Prodhab) hará un requerimiento de información al Ministerio de Hacienda sobre el ataque informático que sufrió el domingo anterior, en el que se vio comprometida información de contribuyentes.

Esta gestión la confirmó este martes la directora nacional del órgano adscrito al Ministerio de Justicia y Paz (MJP), Elizabeth Mora Elizondo, ante una consulta de CRHoy.com planteada después de que la cartera admitió "una situación" en una parte de sus servidores, que es atendido por su personal y expertos externos en busca de una solución. El hackeo fue reivindicado por el malware Conti.

"La Agencia tuvo conocimiento de la vulneración a los sistemas del Ministerio de Hacienda el día de ayer (lunes), a través de varias notas de prensa. En esa línea, se procederá a realizar los requerimientos de información ante el Ministerio de Hacienda y así valorar las acciones que eventualmente procedan", indicó la funcionaria a través de su oficina de prensa.

Mora Elizondo señaló a este medio que, hasta el cierre de esta publicación, no se habían recibido denuncias ciudadanas al respecto.

Si una persona considera que sus datos personales fueron tratados "inadecuadamente", puede plantear su queja mediante la línea telefónica (+506) 2234-0189 o a la dirección electrónica info@prodhab.go.cr, recalcó la directora.

La Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales establece en su artículo 10 que el responsable de una base debe adoptar medidas técnicas y de organización a fin de garantizar la seguridad de la información de carácter personal y evitar su "alteración, destrucción accidental o ilícita, pérdida, tratamiento o acceso no autorizado"; de lo contrario, la misma no deberá ser registrada.

Asimismo, el numeral 38 apunta que el responsable está obligado a informar al titular -y la Agencia- de los datos sobre cualquier irregularidad en el tratamiento o almacenamiento de su información, incluidos los casos de pérdida, destrucción, extravío, entre otras, como consecuencia de una vulnerabilidad de la seguridad. Para ello, la norma da un plazo de cinco días hábiles a partir del momento en que ocurrió la vulnerabilidad. En ese periodo también debe realizarse una revisión para determinar la magnitud de la afectación.

En caso de que se den incumplimientos a esos ordinales, se prevén sanciones -en los artículos del 28 al 31- que van desde los 5 hasta los 30 salarios base de auxiliar judicial I; es decir, ¢2.311.000 hasta los ¢13.866.000. Además, en caso de faltas gravísimas, se dispone la suspensión para el funcionamiento del fichero por entre 1 y 6 meses.

"No obstante, y entretanto la investigación esté en curso, no haremos mayor referencia a este tema, dado que cualquier manifestación de nuestra parte podría ser considerada adelanto de criterio y esto afectaría la objetividad para resolver a futuro, aunado al hecho de que como se indica en la normativa citada, la base de datos tiene un plazo de cinco días hábiles para realizar la notificación respectiva", enfatizó Mora Elizondo.

Durante los últimos tres días, CRHoy.com dio a conocer que entre la información comprometida existen documentos confidenciales sobre la fiscalización de riesgos en aduanas, alertas emanadas por direcciones de Hacienda por "presunción de riesgo de la obligación tributaria aduanera" (incluidos ingresos, impuestos pagados y dejados de pagar, empresas a las que pertenecen, entre otras) así como reuniones, minutas, comunicaciones internas e informes sobre las debilidades encontradas en el Sistema Nacional de Aduanas.

El 18 de abril pasado, cuando Hacienda reconoció el ataque, la cartera también informó que detectó la exposición de datos pertenecientes a la Dirección General de Aduanas, aunque aclaró que la información presentada no forma parte de su más reciente metodología de riesgo. En aquella oportunidad, la institución además reportó la suspensión temporal de las plataformas Administración Tributaria Virtual (ATV) y Tecnología de Información para el Control Aduanera (TICA).

Conti opera "as a Service" (RaaS); o sea, que es ofrecido por sus desarrolladores en foros clandestinos en los que reclutan afiliados, encargados de la distribución de la amenaza a cambio de un porcentaje de las ganancias obtenidas por el pago de rescates de bases de datos y otras informaciones como las antes mencionadas.

Incluso, el malware llegó a informar la "penetración en infraestructura crítica" de la cartera, con lo que -supuestamente- tuvo acceso a más de 800 de sus servidores, la descarga de más de 900 gigabytes (GB) de bases de datos y otros 100 de documentos internos.