Un atac a les credencials ha posat en risc la privacitat dels afiliats

La Caixa Andorrana de Seguretat Social (CASS) ha confirmat avui haver patit una breixa de seguretat que va permetre a tercers no autoritzats accedir i consultar dades personals d'un nombre elevat d'afiliats. L'incident, detectat recentment, implica l'exposició del nom, cognoms, sexe, data i lloc de naixement vinculats als números d'identificació administrativa (NIA).

> "L'accés s'ha produït mitjançant certificats digitals de la CASS sostrets a diversos declarants", ha explicat l'organisme en el seu comunicat.

Com es va produir la filtració?

Els investigadors i experts cibernètics han pogut determinar que els atacants no van penetrar directament les bases de dades principals on s'emmagatzemen les informacions sensibles com les sanitàries o econòmiques. En canvi, l'estratègia es va basar en el robatori de certificats digitals utilitzats per autenticar-se al portal d'empreses.

Un cop dins del sistema a través d'aquests credencials compromesos, els intrusos van explotar una eina legítima dissenyada perquè les empreses verifiquin la identitat dels treballadors en donar-los l'alta. Aquesta funcionalitat permet consultar informació associada al NIA. Els atacants van procedir a provar múltiples combinacions de sis xifres i una lletra fins a identificar diversos identificadors vàlids, obtenint així les dades vinculades.

> "La CASS assegura que no ha detectat cap accés directe a les seves bases de dades ni als sistemes que emmagatzemen la informació dels afiliats", va destacar l'entitat en el seu informe oficial.

Mesures immediates i investigació activa

Tan bon punt es van activar els protocols de seguretat, la CASS ha adoptat mesures tècniques i organitzatives per contenir la incidència. El portal d'empreses ja opera amb normalitat i tots els serveis habituals continuen funcionals.

L'organisme ha notificat l'esdeveniment a les autoritats competents, incloent-hi la Policia, l'Agència Andorrana de Protecció de Dades i l'Agència Nacional de Ciberseguretat d'Andorra. La investigació per determinar l'abast exacte del compromís segueix oberta.

Consells als ciutadans: vigilància activa

Tot i que el NIA no és un document d'identitat oficial, la combinació d'aquest identificador amb altres dades personals exposa els usuaris a riscos de suplantació d'identitat o comunicacions fraudulentes. La CASS recomana als afiliats mantenir-se alerta davant qualsevol comunicació sospitosa i evitar facilitar informació confidencial sense verificar primer la identitat del receptor.

Si detecteu activitats estranyes, podeu contactar amb el servei d'atenció al client de la Caixa Andorrana de Seguretat Social al telèfon 870 870 o via correu electrònic a [email protected]. Per qüestions específiques sobre protecció de dades, també es pot dirigir-se al delegat de protecció de dades en [email protected].