Cómo el robo de 40 millones de registros de votantes del Reino Unido podría haberse evitado por completo

Un ciberataque a la Comisión Electoral del Reino Unido que resultó en la violación de datos de registros de votantes de 40 millones de personas podría haberse evitado por completo si la organización hubiera utilizado medidas básicas de seguridad, según las conclusiones de un informe contundente publicado esta semana por el organismo de protección de datos del Reino Unido.

El informe publicado por la Oficina del Comisionado de Información del Reino Unido el lunes culpó a la Comisión Electoral, que mantiene copias del registro del Reino Unido de ciudadanos elegibles para votar en elecciones, por una serie de fallos de seguridad que llevaron al robo masivo de información de votantes a partir de agosto de 2021.

La Comisión Electoral no descubrió la vulneración de sus sistemas hasta más de un año después en octubre de 2022 y tardó hasta agosto de 2023 en divulgar públicamente la brecha de datos de un año.

La Comisión dijo en el momento de la divulgación pública que los piratas informáticos irrumpieron en servidores que contenían su correo electrónico y robaron, entre otras cosas, copias de los registros electorales del Reino Unido. Esos registros almacenan información sobre los votantes que se registraron entre 2014 y 2022 e incluyen nombres, direcciones postales, números de teléfono e información de votantes no públicos.

Más tarde, el gobierno del Reino Unido atribuyó la intrusión a China, con altos funcionarios advirtiendo que los datos robados podrían ser utilizados para "espionaje a gran escala y represión transnacional de disidentes y críticos percibidos en el Reino Unido". China negó su participación en la violación.

La Oficina del Comisionado de Información emitió su reprimenda formal a la Comisión Electoral el lunes por violar las leyes de protección de datos del Reino Unido, agregando: "Si la Comisión Electoral hubiera tomado medidas básicas para proteger sus sistemas, como parches de seguridad efectivos y gestión de contraseñas, es muy probable que esta violación de datos no hubiera ocurrido".

Por su parte, la Comisión Electoral admitió en un breve comunicado tras la publicación del informe que "no se implementaron protecciones suficientes para prevenir el ciberataque a la Comisión".

Hasta la publicación del informe de la Oficina del Comisionado de Información, no estaba claro exactamente qué condujo a la compromisión de la información de decenas de millones de votantes del Reino Unido, ni qué podría haberse hecho de manera diferente. Ahora sabemos que la Oficina del Comisionado de Información culpó específicamente a la Comisión de no parchear "vulnerabilidades de software conocidas" en su servidor de correo electrónico, que fue el punto inicial de intrusión para los piratas informáticos que se llevaron grandes cantidades de datos de votantes. El informe también confirma un detalle reportado por TechCrunch en 2023 de que el correo electrónico de la Comisión era un servidor de Microsoft Exchange autoalojado.

En su informe, la Oficina del Comisionado de Información confirmó que al menos dos grupos de hackers maliciosos irrumpieron en el servidor de Exchange autoalojado de la Comisión durante 2021 y 2022 utilizando una cadena de tres vulnerabilidades colectivamente conocidas como ProxyShell, lo que permitió a los hackers entrar, tomar el control e instalar código malicioso en el servidor. Microsoft lanzó parches para ProxyShell varios meses antes en abril y mayo de 2021, pero la Comisión no los había instalado.

Para agosto de 2021, la agencia de ciberseguridad de Estados Unidos CISA comenzó a sonar la alarma de que los hackers maliciosos estaban explotando activamente ProxyShell, en cuyo momento cualquier organización que tuviera un proceso efectivo de parcheo de seguridad ya había implementado correcciones meses atrás y ya estaba protegida. La Comisión Electoral no era una de esas organizaciones. "La Comisión Electoral no tenía un régimen de parcheo adecuado en el momento del incidente", dice el informe de la Oficina del Comisionado de Información. "Esta falla es una medida básica".

Entre otros problemas de seguridad notable...