Entre los documentos sustraídos mediante ataques cibernéticos hay información altamente sensible como manuales de operación vía remota de la refinería de Tula, listas de usuarios de trabajadores y contraseñas, revela una investigación de ONEA México.

Más de 180,000 archivos de información oficial, sustraídos mediante ataques cibernéticos a Petróleos Mexicanos a finales de 2019, se encuentran “flotando en el lado más oscuro de internet”, afirmó la organización civil ONEA México.

Entre el volumen de documentación, que equivale a seis gigabytes, está información altamente sensible como manuales de operación vía remota de la refinería de Tula, listas de usuarios de trabajadores, contraseñas, bases de datos, bitácoras, programas de vigilancia y gráficas para interpretar la producción.

Eso forma parte de los documentos que fueron extraídos el 10 de noviembre de 2019, presuntamente por la banda de hackers DoppelPaymer, y a la que tuvieron acceso gracias a fuentes con conocimiento en la red oscura (deep web).

En esos documentos, por los cuales se habría exigido un rescate de 565 bitcoins, equivalentes a 4.9 millones de dólares, hay bases de datos con los usuarios y contraseñas de trabajadores, que sirven para hacer uso de sistemas con una seguridad mínima, debido a que hay claves de acceso con numeraciones consecutivas, palabras altisonantes o frases sencillas de descifrar, situación que evidencia la despreocupación de las áreas encargadas de operar y proteger las plataformas de la petrolera.

De acuerdo con el documento, el descuido en el manejo en la ciberseguridad de Pemex ha sido documentado por organismos como la Auditoría Superior de la Federación (ASF), la cual advirtió que la petrolera no cuenta con mecanismos suficientes para proteger sus sistemas informáticos.

Según respuestas a solicitudes de información a través de la plataforma nacional de transparencia, Pemex identificó más de 176.3 millones de intentos de agresiones a sus sistemas de enero de 2015 a agosto de 2020.

Esto quiere decir que, que sufrió 85,176 intentos de ataque cada día, lo que implica un registro por segundo, en promedio, durante el periodo mencionado.

Según los investigadores de ONEA México, Pemex no cuenta con mecanismos eficaces de protección en las áreas relacionadas con la administración y operación de los controles de ciberseguridad.

Para argumentar esa aseveración refieren que, en junio de 2019, cuatro meses antes de que ocurriera el robo masivo de datos, la Auditoría Superior de la Federación (ASF) reveló sus carencias de seguridad informática.

En su análisis de la Cuenta Pública de 2018, la ASF mostró que Pemex no contaba con mecanismos de control que alertaran de una posible fuga por parte del prestador de servicios.

También se identificó que algunos equipos de usuario final no se encontraban protegidos, lo que los hacía más vulnerables a los ataques cibernéticos.

Otro aspecto relevante que destacan es que tampoco se tenía definido el tratamiento del análisis de vulnerabilidades antes de la puesta en operación de nuevos desarrollos de sistemas, procedimientos, autorizaciones y monitoreo que son requeridos.

Remarcan que la ASF detectó que la empresa no realiza una revisión periódica de sus bases de datos y sistemas operativos, con el objetivo de identificar transacciones no autorizadas o vulneraciones relaciones con la seguridad de los sistemas.

También se identificó que Pemex no cuenta con herramientas de escaneo de puertos para verificar si existieron cambios en los servicios de infraestructura tecnológica que adviertan al personal de seguridad informática para tomar las acciones pertinentes.

La ASF reveló que durante 2018 no se realizaron pruebas de penetración interna y externa para identificar posibles vulnerabilidades o amenazas de ataque.

“Las deficiencias en las configuraciones de seguridad en los dispositivos de comunicaciones, la falta de análisis de vulnerabilidades previo a la puesta en marcha de los sistemas, la carencia de alertas para prevenir la fuga de información por parte de los prestadores de servicios y la falta de un análisis de impacto al negocio desde la perspectiva de la alta dirección de Pemex, representan un probable riesgo para la operación de los procesos y servicios, aunado a que comprometen la integridad, confiabilidad y disponibilidad de los activos de la empresa”, expuso en un reporte citado por la investigación de ONEA México.

Créditos: Diego Badillo