Empleados de Hacienda burlaron “controles” para instalar riesgoso software
Los 36 funcionarios del Ministerio de Hacienda que instalaron el programa Move Mouse que conlleva riesgos informáticos, lo hicieron burlando las políticas de ciberseguridad en equipos institucionales.
La cartera hacendaria a cargo del expresidente Rodrigo Chaves, se encuentra en proceso de despido de los empleados que estaban en modalidad de teletrabajo e instalaron la aplicación sin autorización en las computadoras, para simular que cumplían con su jornada laboral.
A pesar de que la institución afirma que cuenta con controles en la navegación web y monitorea la seguridad de los equipos, el personal involucrado logró colocar en las máquinas el programa que permitía simular el movimiento del mouse, haciendo creer que se encontraban laborando y podrían haber incurrido en abandono del trabajo.
Consultado sobre en qué manual, oficio, documento o resolución se establece que no se pueden instalar aplicaciones ajenas a sus labores y cuáles son las sanciones o consecuencias a las que se atienen quienes realizaron esta práctica, Jeffrey Taylor, director de Tecnologías e Innovación Digital, respondió que se encuentran "en las políticas institucionales de seguridad de la información y de gestión de productos de software, así como otras normativas de carácter general que rigen las actuaciones de todos los funcionarios", aunque no especificó cuáles en particular.
La entidad tributaria asegura que desde el momento de su detección, aplicó de manera inmediata las acciones necesarias para detener su instalación, ejecución y uso en los casos identificados.
También se aplicaron de inmediato las acciones correctivas correspondientes y el equipo técnico del Ministerio trabaja en un plan de acción para robustecer los controles existentes en la plataforma tecnológica y reducir los riesgos asociados.
Acerca de si se sabe si el programa instalado causó algún tipo de afectación como sustracción de datos, infecciones, o acceso a credenciales, Taylor señaló que por el estado en que se encuentra la investigación no es posible ampliar más información.
Riesgo en el sistema
El Colegio de Profesionales en Informática y Computación (CPIC) explica que herramientas tipo "mouse mover" o "mouse jiggler", disponibles tanto en forma de software como de pequeños dispositivos físicos conectados por USB, automatizan movimientos del puntero y ciertas interacciones con el sistema operativo para evitar que el equipo entre en inactividad o que la sesión se bloquee.
Pueden responder a necesidades operativas legítimas, como mantener activas pantallas informativas, presentaciones o procesos de larga duración, o facilitar labores de pruebas y soporte técnico.
Por ello, no deben clasificarse automáticamente como software malicioso. No obstante, señalan que su uso también conlleva riesgos.
"Mantener una sesión activa sin supervisión puede exponer información y sistemas a accesos no autorizados, y estas herramientas pueden emplearse para evadir políticas de bloqueo de sesión o para simular actividad frente a mecanismos de monitoreo", detalló el gremio.
Ante la detección de una herramienta de este tipo, el Colegio recomienda diferenciar entre su presencia, su instalación, su ejecución y la finalidad de su uso.
Su sola presencia en un equipo no constituye, por sí misma, prueba de una conducta irregular; su valoración debe hacerse a la luz de las políticas internas, las demás disposiciones aplicables y la evidencia técnica disponible, como la fecha y el mecanismo de instalación, la cuenta involucrada, los privilegios utilizados y los registros de ejecución.
"Una cuenta de usuario asociada a una instalación tampoco identifica necesariamente a la persona que la realizó, en particular cuando existen cuentas compartidas, procesos automatizados o mecanismos de administración remota", añadieron.
Asimismo, recomienda que las áreas de tecnologías de información documenten las condiciones técnicas vigentes durante el período analizado, como las restricciones de instalación, los privilegios de los usuarios y la habilitación de tiendas de aplicaciones.
En ese análisis conviene distinguir entre la capacidad técnica y la autorización: contar con privilegios para instalar una aplicación no implica que exista autorización institucional para hacerlo.
Advierte, además, que los movimientos del puntero, el tiempo en sesión u otros registros de actividad en un equipo son indicadores limitados y no reflejan, por sí solos, la productividad de una persona. Su interpretación debe complementarse con la valoración de las funciones, responsabilidades y resultados esperados de cada puesto, conforme a los mecanismos propios de cada organización.
Cuando se identifique un riesgo real, el CPIC recomienda adoptar medidas técnicas proporcionales: preservar la evidencia digital garantizando su integridad, trazabilidad y cadena de custodia, especialmente cuando los hallazgos puedan tener efectos en procesos internos; desinstalar o bloquear las aplicaciones no autorizadas; implementar mecanismos de control de aplicaciones y de dispositivos periféricos; aplicar el principio de mínimo privilegio; configurar el bloqueo automático de sesiones, y fortalecer el registro y monitoreo de eventos.