Un incident de seguretat posa en alerta els afiliats

La Caixa Andorrana de Seguretat Social (CASS) ha confirmat aquest dimarts, 12 de novembre, la detecció d'un incident de ciberseguretat que va permetre a tercers no autoritzats accedir parcialment al seu portal web. L'empresa pública explica en un comunicat oficial que el problema es degué a l'sostracció dels certificats digitals per part de diversos declarants, la qual cosa va facilitar l'accés indegut.

> "La protecció de la privadesa i la seguretat de les dades personals és un compromís prioritari". Aquesta frase resumeix el missatge tranquil·litzador que volia transmetre la institució, ja que no s'ha accedit a cap dada personal sanitària ni econòmica, ni tampoc es va penetrar en les bases de dades principals on s'emmagatzemen els historials dels afiliats.

Com funcionava l'accés il·lícit?

L'anàlisi tècnica revela que, un cop dins del portal privat per a empreses i declarants, els atacants no van necessitar vulnerar sistemes complexos. El seu mètode es basava en una funcionalitat dissenyada per facilitar la feina administrativa: introduir el Número d'Identificació Administrativa (NIA) retornava automàticament nom, cognoms, sexe i data de naixement.

Els ciberdelinqüents van aprofitar aquesta vulnerabilitat provant múltiples combinacions numèriques fins a identificar un nombre elevat de NIA vàlids. Aquesta pràctica permetia obtenir informació bàsica per verificar identitats o facilitar la feina en l'alta d'un nou assalariat, però sense accedir al nucli dur dels fitxers sensibles.

Mesures adoptades i investigació activa

Tan bon punt es va tenir coneixement de les vulneracions, La CASS activà els protocols de seguretat per contenir l'incident. El portal web ja funciona amb total normalitat i tots els serveis habituals continuen operatius sense afectació per als usuaris legítims.

L'institució ha informat immediatament les autoritats competents, incloent-hi la policia, l'Agència Andorrana de Protecció de Dades i l'Agència Nacional de Ciberseguretat d'Andorra. La investigació continua en curs per determinar l'abast exacte del nombre de persones afectades.

Consells de seguretat per als ciutadans

Encara que el NIA no és un document d'identitat oficial, la seva associació amb altres dades personals podria facilitar intents de suplantació d'identitat o comunicacions fraudulentes. La CASS recomana mantenir l'alerta davant de qualsevol sol·licitud sospitosa i no facilitar informació confidencial a persones o entitats sense verificar-ne prèviament la identitat.

Per a qualsevol dubte, activitat estranya o si es detecten moviments inusuals al compte, s'insta a contactar amb l'institució trucant al 870 870 o escrivint a [email protected]. També és possible dirigir-se a la policia o consultar el delegat de protecció de dades a [email protected] per aclariments sobre la gestió de les dades personals.