Un ciberataque mundial golpea de lleno a España

Fue Telefónica la primera empresa en dar en España la voz de alerta del ciberataque basado en 'criptolocker' (un tipo de virus que encripta e inutiliza los documentos) que afectaba a su red interna. Más tarde, Inteligencia ha constatado que se ha propagando por empresas, organización e instituciones públicas a nivel nacional.

Según los servicios de Inteligencia, el ataque afecta a sistemas Windows "cifrando todos sus archivos y los de las unidades de red a las que estén conectadas, e infectando al resto de sistemas Windows que haya en esa misma red". El 'ransomware' -asegura el CCN- es una versión del virus WannaCry, infecta la máquina cifrando todos sus archivos y, utilizando una vulnerabilidad de ejecución de comandos remota a través de SMB, se distribuye al resto de máquinas Windows que haya en esa misma red.

Otras de las compañias afectadas podrían ser Vodafone, Iberdrola y Correos, aunque ninguna de las multinacionales ha confirmado aún que hayan sido 'hackeadas'.

Al parecer, es un ataque procedente de China del que se está haciendo cargo el Centro Criptológico Nacional del CNI. Se trata de un virus malicioso ('malware) que está afectando a ficheros y datos de dichas compañías.

Los ciberdelincuentes exigen 300 dólares en 'bitcoins' antes del 15 de mayo por equipo afectado y amenazan con borrar la información el día 19, según fuentes consultadas por este diario.

Se trata de un "ataque estándar" que no iba especialmente dirigido a Telefónica, pero los 'hackers' han encontrado una falla de seguridad en el sistema de la compañía. Esta mañana España era el tercer país del mundo más atacado por 'malware', según Norse. Ha habido picos de hasta 300 ataques contra organizaciones españolas a la hora esta mañana, según fuentes consultadas.

El grueso del ataque es contra la red corporativa de la empresa de telecomunicaciones. Se ha producido un bloqueo en los terminales de la Ronda de Comunicación y la sede de Gran Vía.

Sistemas afectados

Según el CNI, Los sistemas afectados son:

-Microsoft Windows Vista SP2

-Windows Server 2008 SP2 and R2 SP1

-Windows 7

-Windows 8.1

-Windows RT 8.1

-Windows Server 2012 and R2

-Windows 10

-Windows Server 2016

Microsoft, según recuerda el CNI, publicó la vulnerabilidad el día 14 de marzo en su boletín y hace unos días se hizo pública una "prueba de concepto" que parece que "ha sido el desencadenante de la campaña".

El CCN recomienda actualizar los sistemas a su última versión o parchear según informa el fabricante: https://technet.microsoft.com/en-us/library/security/ms17-010.aspx. Para los sistemas sin soporte o parche, como Windows 7, se recomienda aislar de la red o apagar según sea el caso.

Los departamentos de seguridad de otras empresas grandes a nivel nacional están avisando a sus trabajdores de que no abran emails de remitentes desconocidos y "mucho menos" si adjuntan ficheros o enlaces web, ya que a través de ellos entran los 'hackers' a los ordenadores y los bloquean.

Entre las recomendaciones, el departamento técnico avisa de no dejar que el equipo se reinicie cuando aparezca una pantalla azul, sino apagarlo directamente de la corriente y avisar a los responsables.

Una pantalla azul de bloqueo

El ataque informático ha paralizado parte de la red informática de la compañía y numerosos empleados, tanto en Ronda de Comunicación como en la sede de Gran Vía en Madrid no pueden trabajar. A los trabajadores la pantalla les ha cambiado a color azul y desde la compañía han pedido por megafonía que apagaran los ordenadores.

Las primeras informaciones apuntan a que, por el momento, el ataque no ha afectado a consumidores ni clientes de Movistar, que siguen pudiendo llamar y navegar por internet. Fuentes consultadas afirman que los trabajadores de la compañía continúan desempeñando sus funciones trabajando con dispositivos móviles.

Según informa el Gobierno, el Ministerio de Energía, Turismo y Agenda Digital está trabajando a través del Instituto Nacional de Ciberseguridad (Incibe) con las empresas afectadas con el objetivo de solucionar cuanto antes la incidencia. Por la información disponible hasta el momento, el ataque ha afectado puntualmente a equipos informáticos de trabajadores de varias compañías. Por tanto, no afecta ni a la prestación de servicios, ni a la operativa de redes, ni al usuario de dichos servicios.

El ataque, un malware del tipo 'ramsonware', actúa sobre la vulnerabilidad de los componentes de ofimática de los PCs. Tras instalarse en el equipo, bloquea el acceso a los ficheros del ordenador afectado y pide un rescate. No compromete la seguridad de los datos ni se trata de una fuga de datos. Desde el Incibe, en coordinación con las diferentes administraciones, se ha elaborado un diagnóstico de lo ocurrido en las empresas afectadas.

El instituto está ofreciendo ayuda para solucionar los problemas y se asesora a otras compañías en una labor de prevenión para que no se vean afectadas por este ataque. Los equipos de respuesta a incidentes cibernéticos nacionales están en contacto con las organizaciones afectadas, así como el Centro Nacional para la Protección de las Infraestructuras Críticas del Ministerio del Interior.