El CSIC, principal organismo científico de España, lleva dos semanas sin Internet por un ciberataque con ransomware

Pablo Chacón Montes forma parte de la plantilla del CSIC; concretamente, es el investigador principal de su grupo de investigación de Bioinformática Estructural. Y hoy ha sido noticia por una 'carta al director' publicada en el diario ABC, titulada 'Increíble, pero cierto', en el que se desvelaba que dicho organismo —recordemos, el principal organismo de investigación científica de España— lleva ya dos semanas sin acceso a Internet (ni teléfono), a causa de un ciberataque…

…y ningún responsable ha puesto aún sobre la mesa una posible fecha de restauración de dicho acceso. Según la carta, la desconexión "sine die" fue una decisión tomada —como es habitual en estos casos—, por las dos principales autoridades de ciberseguridad del país, el CCN (Centro Criptológico Nacional, dependiente del CNI) y el COCS (Centro de Operaciones de Ciberseguridad, dependiente de la vicepresidenta primera del Gobierno).

Chacón no ha sido el primer investigador en hablar públicamente del tema —varios de ellos ya se habían hecho eco de la incidencia en redes, en tuits con poca repercusión— pero, sí ha sido el primero en lograr llevar el tema a los grandes medios:

"Vergonzoso, el principal agente de investigación es inoperante y a nadie le importa. Proyectos de investigación retrasados, comunicaciones cortadas, administración del CSIC bloqueada, miles y miles de euros en pérdidas. Un corte de estas características es impensable en centros como EMBL, CNRS, NASA…".

Ataque de #ransonware en @csic que nos tiene ya 2 semanas sin acceso a internet. Os imagináis que eso sucediera en una gran empresa, así tipo, una eléctrica? Saldría en todos los periódicos. Pero no, nosotros sólo somos 11000 trabajadores (más estancias, etc...)

— Aitana (@AitanaTamayo) August 1, 2022

"Hemos sufrido un ataque de ransomware. […] Se están blindando los servicios para evitar repeticiones [del ataque]", explica Antonio Turiel, del Instituto de Ciencias del Mar del CSIC. Y amplía otro investigador, Germán Tortosa, de la Estación Experimental del Zaidín:

"Los compañeros de informática nos explicaron la situación: el ataque se contuvo al desconectarnos todos a la vez y ahora están revisando todos los equipos del CSIC uno a uno, que no se hace rápido. Nos pidieron paciencia".

Lo vieron venir…, y aun así los investigadores tienen que recurrir a su tarifa de datos móvil

Hace nueve días, el diario Crónica Global ya se hacía eco de que el CSIC había sido objeto, durante el fin de semana del 15 al 17 de julio, de un ciberataque de ransomware que había hecho caer la sede electrónica del organismo, logrado cortar la red privada que conecta sus centros con la sede de Madrid —con el ánimo de que sirviera 'de cortafuegos'—, y dejado inaccesibles varias de las webs de las entidades dependientes del propio CSIC.

Buen momento para que ataquen la red de datos del @csic y corten toda conexión con nuestros servidores en @C_Astrobiologia. Ahí se quedan los datos @ESA_Webb...

— Pablo Pérez González (@PGPerezGonzalez) July 24, 2022

Ahora, recién iniciado el mes de agosto, las webs parecen estar todas recuperadas, pero la conectividad sigue brillando por su ausencia (los investigadores siguen recurriendo a la conexión de datos de sus móviles). Y los problemas van mucho más allá. Según David Arroyo, ex-administrador de sistemas e investigador del Grupo de investigación en criptografía y seguridad de la información (GiCSI):

"El problema es que no se tiene acceso a la estructura de cómputo "desplegada sobre infraestructura de la SGAI [Secretaría General Adjunta de Informática]".

Dicha estructura de cómputo es necesaria para la realización de simulaciones científicas. Además, el propio Arroyo explica por qué el CSIC no puede hacerse el sorprendido por lo ocurrido:

"No es el primer ataque de tipo ransomware que recibe el CSIC. De hecho, al inicio de la invasión rusa de Ucrania se nos instó a 'apagar los ordenadores durante el fin de semana'. Esa orden ya era indicativa de que había un problema con los servicios de detección temprana de amenazas. ¿Cómo se puede entender que ante un aviso de esa naturaleza no se realizará la instalación de los sistemas EDR que ahora se están desplegando de prisa y corriendo?".

Ni el CCN, ni el COCS ni el CSIC confirmaron oficialmente hace dos semanas la existencia del ciberataque, y tampoco se han pronunciado hasta ahora acerca de la desconexión de la red en el organismo científico. Tampoco nosotros, tras habernos puesto en contacto con ellos, hemos recibido comentarios de su parte respecto a este asunto. Actualizaremos esta pieza si la situación cambia.