El grupo de delincuentes conocido como Medusa publicó recientemente a la Comisión Nacional de Valores (CNV) como una de sus víctimas en su sitio web ubicado en la Dark Web. El anuncio fue realizado el domingo, donde se detalla que el grupo tiene acceso a 1.5 TB de datos y solicita un rescate de 500 mil dólares para evitar su publicación.
Ataque detectado y aislamiento
La CNV confirmó que detectó el ataque el miércoles 7 de junio, el cual fue realizado mediante código malicioso del tipo ransomware. El organismo indicó que logró aislarlo y está en proceso de restaurar los datos afectados.
Información disponible en la Dark Web
Aunque se ha publicado información sobre el ataque, lo único visible actualmente es un file tree, que representa la estructura de archivos y carpetas. Por ahora no hay confirmación definitiva de que los datos sensibles hayan sido comprometidos.
Estructura de los datos filtrados
El file tree revela una filtración que abarca 8 volúmenes, incluyendo uno etiquetado como CNS_MAIN y otros relacionados con sistemas de archivos (FS) y bases de datos SQL. Entre los nombres de directorios se encuentran referencias a entornos de producción como el BackOffice de Prensa, Bolsa de Reportes, CAFirmantes, Calificadoras, Fideicomisos, Fondos Comunes, Invertir, RRHH, Registro y RESOL.
Información crítica sobre infraestructura
Uno de los volúmenes contiene información relevante para la seguridad informática, incluyendo logs de firewalls y proxies. Se menciona específicamente un log relacionado con la DMZ de ARSAT.
Prácticas inadecuadas de seguridad
Una carpeta llamada «hola» contiene archivos en texto plano (DOC, PDF, Excel) que incluyen claves del organismo. Esta práctica es considerada una mala gestión de la seguridad informática.
Responsabilidad legal y normativa
La abogada Bárbara Peñaloza señaló que la CNV no publicó el ataque ni lo informó a las víctimas hasta que se hizo público por Medusa. Aunque el ataque malicioso de sistemas informáticos no es un delito tipificado en el Código Penal argentino, sí se consideran otros tres delitos: acceso indebido a sistemas, daño informático y extorsión.
Normativa vigente
La Ley de Datos Personales actual no obliga a las entidades públicas o privadas cuyos sistemas resulten vulnerados a informar a las víctimas. El proyecto para actualizar esa norma está frenado, mientras que en la Unión Europea se exige una notificación dentro de 72 horas, con multas millonarias si no se cumple.