La UAB ve un “riesgo residual” en que los ciberatacantes publiquen datos personales

El rector de la Universidad Autónoma de Barcelona (UAB), Javier Lafuente, no ha podido descartar al 100% este jueves que los ciberatacantes dispongan de datos personales de los estudiantes, como números de cuenta o sus notas, al cumplirse un mes del ataque que hizo caer los sistemas informáticos del campus. El comisionado del rector para las TIC, Jordi Hernández, ha detallado que los servidores atacados contenían principalmente “archivos de ofimática del día a día”. Según él, se trata principalmente de información que ya es pública —como licitaciones o facturas— por lo que ve “un riesgo residual” en que los hackers dispongan de datos comprometidos. En su página web, en la llamada internet oscura, los piratas informáticos anuncian que “próximamente” publicaran datos de la UAB.

La Autónoma fue atacada con el virus del tipo ransomware Pysa, que encripta los datos secuestrados. Luego, los hackers piden una recompensa a la organización atacada. La universidad ha reiterado que “no da validez ni voz a los delincuentes”, que investigan los Mossos d’Esquadra, en la línea que ya se posicionó unas semanas que, como institución pública, no se plantea pagar. Sin embargo, Lafuente ha explicado que tiene constancia de la amenaza de los atacantes, a través de la Agencia de Ciberseguridad de Cataluña, de compartir la información del campus. Algunos medios publicaron que los piratas dieron un ultimátum para publicar los datos el pasado miércoles. Sin embargo, la fecha que aparece al lado de la amenaza (10/11/2020) está en formato anglosajón, por lo que se trata de la fecha del ataque (11 de octubre), y no del 10 de noviembre, según ha matizado la UAB.

El campus virtual de la UAB, que centraliza el día a día de los estudiantes, sigue sin funcionar. En su lugar, los servicios informáticos de la universidad han suplido sus funcionalidades dentro de la herramienta de trabajo colaborativo Teams, de Microsoft. Desde hace dos semanas profesores, personal y estudiantes han recuperado también el correo electrónico. Sin embargo, según ha apuntado Lafuente, los efectos del ciberataque se prolongarán durante todo el curso. “Hemos decidido ir reconstruyendo de nuevo los sistemas informáticos para ir garantizando la normalidad sin poner en riesgo la institución”, ha afirmado el rector. Ha puesto un ejemplo. La web de la UAB, que sigue caída y en su sitio aparece un blog simple informativo, estaba alojada físicamente en un servidor de la universidad. Dentro de unas semanas volverá a estar activa en la llamada nube de internet, en un centro de datos de una gran corporación informática.

La UAB sigue sin saber cuál fue el punto débil por donde entraron los atacantes. El personal informático de la universidad sigue trabajando en un diagnóstico con la Agencia de Ciberseguridad y una empresa externa. Lafuente ha asegurado que la puesta en marcha de herramientas informáticas alternativas permite seguir con el día a día de la docencia y la investigación en el campus. Lo primero que se recuperó, al cabo de una semana del ataque, fue el acceso Wi-Fi a internet, aislada de la red interna. En las copias de seguridad de los ordenadores afectados los servicios tecnológicos siguen analizando en búsqueda de agujeros de seguridad. La universidad evita restaurar estos backups tal y como están por no exponerse otra vez a los mismos riesgos.

Un millón en seguridad informática

El rector de la universidad, Javier Lafuente, ha explicado que en 2021, antes del ciberataque, la UAB había invertido más de un millón de euros en ciberseguridad, partida que ha acaparado dos tercios del presupuesto en informática de los últimos dos años. “El sistema no era débil, pero la tecnología [la de los virus] avanza a más velocidad”, ha expuesto el rector sobre la inversión en una tecnología que ocupa 1.200 servidores y da servicio a 50.000 personas de la comunidad universitaria. La primera prioridad ahora es la recuperación del sistema de expedientes y de gestión económica. Luego, según Lafuente, los servicios TIC reconstruirán el campus virtual.

La UAB tiene en propiedad unos 10.000 ordenadores personales, que se han ido sometiendo a cribas para saber cuáles se pueden volver a moverse por Internet sin riesgo de reinfección. La llegada del ciberataque llegó después de tres semestres afectados por la crisis sanitaria, en los que la universidad se tuvo que reinventar en internet. El rector de la UAB, Javier Lafuente, dictó el 21 de octubre una resolución para suspender los plazos en los procesos administrativos de la universidad con una vigencia de dos meses a partir del ciberataque.