La intrusión al Sismate bajo la lupa: así fue la vulneración al sistema de alertas

LEE AQUÍ: Cusco: ¿Por qué hay tantos jóvenes israelíes en Pisac y qué es La Ruta del Hummus?

La siguiente alerta enviada a través del Sismate tenían un link que dirigían a un canal de Telegram, así como contenido político, lo que llamó la atención de las personas a las que les llegó el mensaje.

El MTC señaló que la penetración al Sismate se dio a través de una cuenta del proveedor del sistema, Consorcio Everbridge. No obstante, remarcó que dicha empresa activó “los protocolos de respuesta y seguridad con el objetivo de identificar el origen y alcance del incidente”.

Por su parte, Indeci aclaró a la ciudadanía que los sismos no se pueden predecir y que el Sismate no se utiliza para advertir eventos de ese tipo antes de que ocurran. La Autoridad Nacional de Protección de Datos Personales, entidad del Ministerio de Justicia y Derechos Humanos, inició una investigación sobre el acceso no autorizado al Sismate y sus implicancias frente al régimen sancionador de la Ley de Protección de Datos Personales.

Jesús Véliz, periodista especializado en tecnología e innovación, explicó a El Comercio que lo ocurrido en el Sismate no es un ‘hackeo’ sino una “intrusión”, ya que no se ha detectado una vulneración en dicho sistema de alerta.

Explicó que el grupo Deface encontró las llaves de acceso al sistema a través de un malware y phishing enviado a una personas involucrada en el manejo. En ese contexto, recordó que el Consorcio Everbridge realizaría esta semana una prueba del funcionamiento del Sismate en Lima e Ica, incluso así lo había notificado a las operadoras de telefonía móvil.

“Ha habido un sistema de malware y phishing originado por Deface para obtener las llaves de acceso de alguna de las personas involucradas en esta evaluación y es ahí donde pudieron ingresar al dashboard. No ha habido una violencia contra el sistema, ha habido simplemente una captura de credenciales por fuera que pudieron usar dentro del sistema”, expresó Véliz.

“Una persona le ha dado clic a un malware y ha provocado que se compartan las credenciales de un dispositivo. Más allá de cómo está Sismate, el problema es de procesos de autenticación de usuario, no se ha vulnerado la plataforma, se ha conseguido un acceso legal de manera ilegal”, aseveró.

MÁS INFORMACIÓN AQUÍ: Carlos Bruce postula a la alcaldía de Lima: ¿Cuál es la situación de Surco y cómo quedan las obras pendientes?

Para el especialista, lo más grave de este caso es que se ha evidenciado que no existe un protocolo antes y después de enviar una alerta a través del Sismate. “Hay vacíos en el protocolo, eso es lo más grave en todo esto, ya que nadie tuvo un preview del mensaje que se estaba enviando a través de cell broadcast. Eso debería estar en las condiciones de protocolo del MTC o en el convenio firmado para la implementación del Sismate”, afirmó.

“No ha habido un protocolo de reacción porque lo que hizo Indeci y el MTC es publicar en redes un comunicado, cuando inmediatamente debieron utilizar el Sismate para desmentir el mensaje previo. Tampoco en Sismate hay una verificación oficial, es decir, los ciudadanos no tenemos cómo saber si realmente lo que estamos viendo es real o no. Tampoco hay un control por etapas, no hay un filtro previo, no hay una cadena que permite resguardar qué información se está compartiendo en Sismate, por lo que alguien tiene que supervisar eso y poner una aprobación”, añadió.

“En este caso lo que ha pasado es que ha habido un grupo de chicos que se encontró con el acceso y empezó a publicar cualquier tontería, ya que es bien errático (el mensaje), pero esa tontería no fue validada por un segundo, por un ente supervisor o por alguien que esté de turno”, puntualizó.

Véliz recordó que Deface Perú estuvo detrás del ciberataque y filtración de datos de la Dirección Nacional de Inteligencia (DINI), a inicios de marzo pasado.

Indeci solo es un usuario del Sismate y el mensaje enviado a través de dicho sistema no fue identificado por las autoridades, por lo que luego se activó el protocolo de seguridad, indicó Zarella Cieza, subdirectora de Monitoreo y Alerta Temprana de la mencionada entidad.

En diálogo con El Comercio, la funcionaria explicó que Indeci tiene personal activo para utilizar dicha herramienta las 24 horas y los siete días a fin de alertar a la ciudadanía sobre cualquier fenómeno natural.

TE PUEDE INTERESAR: Banda ‘Los Pulpos de La Victoria’ logró amasar S/ 75 millones en Gamarra: ¿cómo operaba, quiénes eran sus víctimas y cuáles eran sus integrantes?...

“Indeci tiene un acceso de usuario, nosotros tenemos operadores autorizados para que este sistema pueda funcionar las 24 horas y los 7 días, ya que estamos hablando de un sistema de emergencia. Hay operadores que están autorizados y siempre hay personal frente al sistema”, refirió.

Precisó que el Sismate no se usa en casos de sismos, pero sí para alertar sobre otro tipo de peligros que pueden ser monitoreados de manera progresiva, como tsunamis, huaicos, inundaciones, crecida de ríos y actividad volcánica. También se activa en los simulacros para que la ciudadanía se vaya familiarizando con la herramienta.

Cieza explicó que el Sismate funciona desde el 2023 y que ha emitido 157 alertas en lo que va del año. Aclaró que dicho sistema no lanza mensajes de texto, sino alertas que se superponen en la pantalla de un celular y emite un sonido fuerte.

Además, detalló que las alertas son enviadas solo a los celulares ubicados en la zona donde podría ocurrir el fenómeno natural. “Se enviará el mensaje hacia un territorio determinado. Se configura el polígono donde se activará la alerta y solo ahí se enviará. El sistema tiene la característica de que se puede delimitar el área donde se mandará el mensaje”, señaló.

Erick Iriarte, abogado experto en derecho digital, indicó que, frente a lo ocurrido en el Sismate, corresponde realizar un peritaje y no una auditoría, ya que se ha perpetrado un “hecho ilícito”.

“Al ser un hecho ilícito se necesita demostrar dónde estuvo la brecha. La compañía tendrá que demostrar lo que hizo, la Fiscalía tendrá que intervenir, la Autoridad Nacional de Protección de Datos Personales y el Centro de Seguridad Digital también deberán dar sus pautas para establecer si se declaró la brecha y cuál fue el impacto”, afirmó el especialista.

REVISA AQUÍ: El ‘cambiazo’ del oro: ¿Cómo así un policía implicado en el robo de un lingote amasó una fortuna de S/ 31 millones en solo 3 años?

“Si esto tenía gestión de base de datos, si se hicieron pruebas de ciberseguridad o es una falla nueva, (se debe determinar) quién era responsable de la ciberseguridad, el MTC o Indeci, o era la compañía que provee el servicio”, agregó.

Remarcó que hasta el momento no se conoce si fue una falla en el diseño originario del Sismate, una falla en la evaluación de ciberseguridad o una falla que apareció después. No obstante, precisó que toda entidad estatal debe contar con mecanismos de seguridad del estándar que exista en el momento y ser sometida a pruebas de evaluación. “Debe tener una actualización constante de monitoreo porque puede aparecer nuevas brechas y formas de alterar el sistema”, afirmó.

“El Estado tiene una obligación en el tema de ciberseguridad, de actualizarse constantemente, de tener un centro de seguridad digital y de contar con una política de ciberseguridad”, agregó.

Iriarte explicó que las empresas de telecomunicaciones no pudieron evitar el envío de esos mensajes en ese momento porque el sistema estaba gestionado y enviado desde un canal formal.