Sacan a la venta en un foro una supuesta base de datos "de ciudadanos de España", con los registros de más de 39 millones de personas

Una cosa muy común en el mundo de la ciberdelincuencia es que los criminales informáticos compartan y comercialicen sus hallazgos. Por eso existen un montón de foros tanto en la web como en la dark web en la que todo tipo de usuarios ofrecen la información extraída a empresas privadas o agencias gubernamentales mediante ciberataques a un módico precio.

Así opera un singular mercado negro digital en el que, por supuesto, los faroles están a la orden del día. Un usuario anuncia la subasta de un jugoso botín y aunque hay veces que el mercader está dispuesto a demostrar que lo que vende es bueno, en otras ocasiones son los compradores los que tendrán que hacer frente a un enorme desembolso con el enorme riesgo de llevarse un desengaño.

Es muy común que en este tipo de foros cada día afloren nuevas víctimas de ciberataques, desde pequeñas y medianas empresas a gobiernos de todo un país. Bases de datos inocuas —nombres y apellidos de usuarios de un servicio—, información algo más sensible —documentos internos de una compañía— o elementos críticos —datos fiscales o bancarios no cifrados—.

Incluso pasaportes falsos. Todo está a la venta en los antros más remotos de la red.

Lo que no es tan normal es que lo que un supuesto ciberdelincuente ponga a la venta la base de datos de todo un país entero. Esto es lo que parece haber sucedido en un conocido foro underground de habla rusa, en la que un usuario ha puesto a la venta por 10.000 dólares una base de datos "de los ciudadanos de España". Ahí es nada.

Google intercepta una campaña de piratas informáticos asociados a Rusia que por primera vez se dirigía contra partidos políticos europeos

Según este usuario, la base de datos a la venta contiene información de personas españolas nacidas desde el año 1926 hasta el año 2004. "Las columnas de las bases de datos son el DNI, nombre, apellido uno, apellido dos, fecha de nacimiento, dirección, ciudad y código postal". Todo empaquetado en un cómodo archivo de menos de 40 megas.

El usuario en cuestión, cuya oferta ha sido recogida por un perfil que monitoriza varios de estos foros de ciberdelincuentes, anima a los potenciales compradores a ponerse en contacto con él o ella para tener más detalles. De hecho, la escueta proposición comienza con un: "Hola, estoy vendiendo la base de datos de ciudadanos de España".

La información sustraída no es del todo crítica, en tanto que una base de datos tan masiva, en caso de ser real, solo servirá para preparar ataques más sofisticados. Por ejemplo: quien tenga una base de datos de ese calibre en su poder podrá preparar ataques personalizados para determinados ciudadanos, conociendo su cumpleaños o su dirección postal.

Por suerte, no hay información fiscal ni métodos de pago involucrados en este proceso. 

No se conoce que la Administración General del Estado haya sufrido algún ciberincidente recientemente, y precisamente el hecho de que la base de datos termine en el año 2004 invita a pensar que el archivo, de ser real, está más que desfasado y presumiblemente se estaría archivando en un lugar sin demasiada protección. 

Sin embargo, la oferta de hoy llama la atención en tanto que lo que se suelen poner a la venta son las bases de datos de usuarios de grandes plataformas digitales —hace unos años se filtró prácticamente gratis la base de datos con 500 millones de usuarios de Facebook, sin ir más lejos—.

Que se ponga en venta la base de datos de todo un país ya es otra cosa.