Un archivo con 116.459 fotografías de ciudadanos argentinos fue extraído del Registro Nacional de las Personas (Renaper) y publicado para descargar gratis el lunes pasado en un foro de compra-venta de datos personales y en la app de mensajería Telegram.
Los datos personales se comercializan para cometer diversos tipos de ciberdelitos delitos, entre los que se encuentra la suplantación de identidad, que puede usarse para conseguir accesos no autorizados o realizar ingeniería social. Las fotos son codiciadas para algunas aplicaciones fintech que validan identidad de manera 100% digital.
En 2021, el Renaper fue noticia cuando un usuario consiguió un acceso y filtró datos de 60 mil argentinos como una prueba de que, aseguraba, tenía en su poder registros de todos los habitantes.
Clarín se contactó con el Ministerio del Interior, entidad bajo la que se encuentra el Renaper, y confirmaron que están al tanto de la situación. Según fuentes del organismo, “corresponde al incidente del Ministerio de Salud de 2022, y los datos fueron extraídos con claves habilitadas por usuarios” de esa cartera.
Al sacar o renovar pasaporte y DNI, se toma una foto que queda en la base de datos: esas imágenes filtró el atacante. Foto Gustavo Castaing “Eran usuarios habilitados que sacaron información para venderla, ahora se cambió el sistema”, aseguraron. En 2022, el Ministerio de Salud tuvo un acceso no autorizado al Registro Único de Audiencias (RUA), que depende del Ministerio del Interior. Sin embargo, Renaper no tuvo nada que ver con ese incidente, con lo cual no queda clara la explicación oficial.
Según pudo confirmar este medio, la información que se subió el lunes con las imágenes está comprimida en un .rar y es una carpeta que contiene archivos identificados cada uno con el número de documento o pasaporte al cual se corresponde la foto. Hay identificaciones que van desde la numeración de los 10 hasta los 57 millones, con lo cual, hay imágenes de menores.
“Se trata de un lote de 116.459 fotografías oficiales extraídas del Renaper. Pesa 2.2GB y está disponible en el canal de Telegram del atacante y en un foro. Cada foto tiene como nombre el número de DNI o pasaporte al que pertenece, por lo que resulta simple unir un rostro con un nombre”, explicó a este medio Mauro Eldritch, director de Birmingham Cyber Arms, empresa que reporta filtraciones de datos.
El investigador asegura, por otro lado, que “el lote fue ‘volcado’ [extraído] desde mayo de 2023 hasta hoy. Además, ningún archivo tiene la marca de agua del Renaper, lo cual permite que sea reutilizado en otras plataformas”, agrega.
El antecedente del Renaper y los datos de los ciudadanos
Trámite para sacar el pasaporte. Foto: Renaper.No es la primera vez que el Renaper sufre un acceso no autorizado. En octubre de 2021, un usuario publicó datos personales de ciudadanos argentinos, que incluían documentos con fotos y números de trámite y llegó a subir 60.000 entradas en un archivo de 2.7 GB. La información se correspondía con los documentos en su versión digital de manera completa, a diferencia del archivo filtrado esta semana, que sólo tiene las fotos tomadas en el momento de la emisión del documento.
En aquel entonces, el atacante había hecho mucho ruido al subir documentos de famosos como Alberto Fernández, Marcelo Tinelli, Lionel Messi, Máximo y Florencia Kirchner, entre otros. Este nuevo caso pasó desapercibido: el actor de amenazas no publicó más que el archivo para descargar, sin hacer ruido mediático.
Los ciberincidentes representan un problema a nivel mundial. A nivel local, a fines del año pasado, la Unidad Fiscal Especializada en Ciberdelincuencia señaló un alza de casos, con 35.447 reportes, 353 investigaciones preliminares y 854 asistencias a fiscalías.
Ante este tipo de filtraciones, el Estado debería notificarlo ante la Agencia de Acceso a la Información Pública (AAIP). De hecho, a fines de 2022 el Congreso aprobó un convenio llamado 108 que, a pesar de que requiere el pliego de otros países para que entre en vigor, también insta a los organismos a hacer públicos estos incidentes.
“Desde 1999 existe en Argentina un CERT, o equipo de respuesta ante incidentes, y recomienda que los organismos de la Administración Pública Nacional reporten sus incidentes. Lamentablemente nunca hubo campaña de comunicación o sanción ante incumplimientos, ni aún luego de la Decisión Administrativa 641 del 2021 que hacía este requerimiento obligatorio”, explicó Marcela Pallero, Responsable del Programa STIC de la Fundación Sadosky.
“Más recientemente, para describir el proceso de gestión de incidentes de ciberseguridad y alentar a otros a establecer los propios, se publicó otra norma que, a los fines prácticos, no ha sido efectiva de cara a la sociedad en cuanto a cuáles son los esfuerzos o las actividades que realiza el sector público para proteger nuestros datos personales”, siguió.
“Sería interesante ver una colaboración entre las autoridades de ciberseguridad y protección de datos personales como sucede en otros países de la región”, agregó. Chile aprobó, a fines del año pasado, la primera ley de ciberseguridad de América Latina, por poner un ejemplo.
Una vez que se filtra información personal de documentos es muy difícil dar marcha atrás. Foto RenaperEn cuanto al contexto de Argentina, cada vez son más frecuentes los accesos no autorizados, hackeos y ransomware (robo de datos con posterior extorsión para devolverlos). A mediados del año pasado, uno de los hackeos más resonantes fue el de la Comisión Nacional de Valores, la entidad que regula los mercados a nivel local, que sufrió un ciberataque del grupo Medusa.
En agosto, el grupo Ryshida hackeó al PAMI, un tema que llegó a titulares de medios en toda la región y, junto al ciberataque que recibió la UBA a fines del año pasado, fue el tema de conversación más fuerte en el mundo de la ciberseguridad local.
Uno de los ciberataques contra el Estado más recordados fue el que sufrió el Senado a principios de 2022.
El resguardo de la información personal por parte de los Gobiernos sigue siendo un problema difícil de resolver.