Se ha publicado un archivo que contiene información relacionada con usuarios del sistema de la Administración Federal de Ingresos Públicos (AFIP), incluyendo números de CUIT y contraseñas. A continuación se presentan las respuestas a preguntas clave sobre el incidente.
¿AFIP fue hackeado?
No, según la información proporcionada. El archivo no representa un acceso directo al sistema de AFIP ni una violación del mismo.
¿Dónde y cómo se publicó el archivo?
- El archivo fue compartido en un foro conocido por la comunidad de hacking y robo de datos.
- Se puede descargar desde varios enlaces y visualizar en texto plano.
- No se proporciona el enlace directo, ya que solo 52 personas (y contando) han descargado el archivo hasta ahora.
¿Cómo puedo saber si mi CUIT y contraseña fueron publicados?
La mejor opción sería acceder al archivo y buscar tu CUIT. Sin embargo, se recomienda cambiar la contraseña de todos modos.
¿Cuántos registros se publicaron?
El archivo contiene 82.708 registros, pero no todos son reales.
¿Probaste los usuarios y contraseñas para verificar si son correctos?
No, debido a que en Argentina esta acción se considera delito según la Ley 26.388, modificada en 2008.
¿Qué datos serían «reales»?
Es difícil determinar qué registros son reales y cuáles no. Sin embargo, se considera que cualquier registro con el siguiente formato podría ser válido: 12345678901:Cl4v3_S3gura.
¿De dónde salieron los datos?
El archivo no fue robado directamente desde AFIP. Si fuera así, tendría un formato diferente y sería más grande. Se presume que la entidad almacena las contraseñas en forma hasheada.
¿Los datos podrían ser viejos y estar desactualizados?
Sí, pero se recomienda prevenir antes de curar. Es tu cuenta, es tu decisión.
¿Qué debo hacer?
Debes cambiar la contraseña y avisarle a todos tus amigos que hagan lo mismo.
Pero, independientemente de si tu contraseña es débil o fuerte, si estás infectado con un malware, de nada sirve cambiar la contraseña. Debes asegurarte que la computadora que utilizas para acceder a servicios sensibles (como AFIP), no está infectada.
¿AFIP dispone de segundo factor de autenticación (2FA)?
Sí, AFIP dispone de una aplicación móvil para Android y iOS. Debes activarla desde un cajero automático o en una filial del organismo.
¿Debo compartir la contraseña de AFIP con mi contador?
El organismo permite tramitar la posibilidad de delegar algunos servicios puestos a nombre de un titular para que los use otra persona, por ejemplo, tu contador. Sin embargo, si la contraseña del contador es comprometida, el atacante accedería a todos los servicios administrados por ese mismo contador.
Idealmente, AFIP debería ofrecer un método seguro de autenticación a través de 2FA y passwordless, pero, mientras tanto deberemos seguir dependiendo de este tipo de situaciones.
Actualización: AFIP ha publicado un comunicado oficial.