¿1 millón de números de Seguro Social expuestos por vulnerabilidad de ciberseguridad en agencia de Puerto Rico?
La información divulgada por CPI y ProPublica fue rechazada por personal del Centro de Recaudación de Ingresos Municipales (CRIM)
Las estimaciones del SSA señalan que el sistema del Seguro Social colapsará en 2033 si no se aplican correcciones urgentes. Crédito: Shutterstock
NUEVA YORK ? El Centro de Recaudación de Ingresos Municipales (CRIM) en Puerto Rico habría expuesto los números de Seguro Social de, aproximadamente, un millón de personas debido a una falla de ciberseguridad, según arrojó una indagatoria del Centro de Periodismo Investigativo (CPI) y ProPublica.
Boletín semanal sobre Puerto Rico y la diáspora: suscríbete gratis aquí.
El informe añadió que, aunque proveyeron al CRIM, encargado de recaudar los impuestos sobre la propiedad en la isla, una descripción detallada de la situación que incluía el servidor y las carpetas específicas con los datos comprometidos, la agencia supuestamente despachó los señalamientos.
El escrito del pasado 9 de julio precisó que las entidades periodísticas identificaron la brecha de seguridad e informaron al CRIM, a mediados del mes pasado. La situación está relacionada con el mapa interactivo de propiedades o Catastro Digital.
El Catastro Digital de Puerto Rico es el registro digital de todas las propiedades inmuebles de la isla con el fin de ubicar y describir físicamente las parcelas para fines de tasación y cobro de impuestos. El sistema es administrado por el CRIM.
El CRIM es además una entidad esencial para los municipios de la isla, ya que ofrece servicios fiscales y debe “notificar, tasar, recaudar, recibir y distribuir los fondos públicos provenientes de la contribución sobre la propiedad, el subsidio estatal, fondos provenientes de la Lotería Electrónica” y otros que sean establecidos por ley.
El informe periodístico identificó la filtración como el “incidente de ciberseguridad más reciente que afecta al gobierno de Puerto Rico”.
El reportaje mencionó que, en los últimos tres años, el Gobierno ha sufrido brechas tecnológicas que han interrumpido los servicios públicos, desactivado sitios web y provocado la publicación de información personal de los ciudadanos en la llamada “dark web” (red obscura).
En el artículo se argumentó que, pocos días después de que se alertara al CRIM, los medios pudieron constatar que se corrigieron las brechas de seguridad.
Sin embargo, el director ejecutivo del CRIM, Javier García Cintrón, afirmó que ninguna información estuvo expuesta.
“Tras una revisión de la plataforma de Catastro Digital, se determinó que NO hubo ninguna vulneración de información personal confidencial de los contribuyentes, ya que el Catastro Digital NO contiene ni muestra el tipo de información a la que se alude”, indicó García Cintrón en respuesta a la investigación.
Según la información que manejan los periodistas, cualquier persona que comprenda cómo los sitios web solicitan datos podría descargar información personal vulnerable sin que se requiera nombre de usuario y contraseña.
García Cintrón añadió que la agencia no contactaría a los usuarios para informarles que sus números de Seguro Social pudieron ser expuestos, según dispone la ley en Puerto Rico, ya que “no hubo información protegida en riesgo”.
El CRIM tampoco avisó al Servicio de Innovación y Tecnología de Puerto Rico (PRITS) sobre los señalamientos. El PRITS es la entidad que lidera la centralización y modernización de la tecnología en todas las agencias gubernamentales con el propósito de mejorar los servicios que se ofrecen a los ciudadanos. También se encargan de fortalecer la ciberseguridad. El protocolo de ciberseguridad gubernamental también exige informar al PRITS sobre “cualquier incidente de seguridad sospechoso”, destacó el reportaje. Un portavoz del PRITS rechazó contestar a las preguntas de los medios.
De acuerdo con los datos del propio Servicio que cita el artículo, en lo que va de año, se han registrado más de 2 millones de intentos de ciberataques contra el gobierno de Puerto Rico. La mitad de estos, fueron clasificaron como “críticos”, lo que significa que tendrían un impacto grave en operaciones, vulnerarían datos sensibles o representarían una “amenaza inminente para la seguridad de la agencia o los datos gubernamentales”.
El informe pone como ejemplo un intento de intervención en el sistema del Departamento de Transportación y Obras Públicas (DTOP) en marzo de este año que se tradujo en posposiciones de citas de ciudadanos para trámites como los de licencias de conducir.
En otra instancia, el año pasado, puertorriqueños no pudieron verificar su registro de antecedentes penales por una semana debido a un “acceso no autorizado” a los datos en el Departamento de Justicia. En el 2023, información de clientes y empleados de la Autoridad de Acueductos y Alcantarillados (AAA) supuestamente terminó en la red obscura debido a un ataque de “ransomware”.
La corporación argumentó que no pagarían rescate a los hackers debido a que, al final, la información no quedó expuesta.
Los constantes incidentes de este tipo llevaron a la aprobación en el 2024 de la Ley 40, conocida como la “Ley de Ciberseguridad del Estado Libre Asociado de Puerto Rico”, resaltaron los medios.
La intención del estatuto era proveer seguridad a los datos gubernamentales, apoyar los procesos de innovación y fomentar el desarrollo y crecimiento económico sostenible de todos los sectores en Puerto Rico.
La legislación se tradujo en la creación de la figura del Principal Oficial de Seguridad Cibernetica (Chief Information Security Officer) bajo PRITTS.
El informe de ProPublica y el CPI plantea además que tres expertos en ciberseguridad señalaron que las agencias no han logrado implementar como corresponde los requisitos de seguridad establecidos por ley.
