El 9 de enero de 2021, el municipio de Østre Toten se despertó y descubrió que toda su infraestructura digital había sido destruida durante la noche. Un grupo internacional de hackers conocido como PYSA había burlado el cortafuegos del municipio, cifrado todos los datos de todos los servidores y borrado todos los archivos de copia de seguridad. En una sola noche, 1 300 empleados municipales perdieron el acceso a todos los sistemas de los que dependían.
El municipio no tenía forma de recuperarse. El correo electrónico había desaparecido. Los historiales de los pacientes de los servicios de asistencia habían desaparecido. Las solicitudes de construcción, los registros fiscales, las comunicaciones internas… todo ello bloqueado tras claves de cifrado que solo poseían los hackers. El personal de los servicios sanitarios, los colegios y la administración tuvo que recurrir al papel y al lápiz. Las enfermeras escribían las notas de los pacientes a mano. Los profesores se las arreglaron sin herramientas digitales. El personal administrativo desenterró archivos físicos que no se habían tocado en años.
La situación empeoró. El 31 de marzo, los hackers publicaron los datos robados en la dark web. Aparecieron en línea aproximadamente 30 000 documentos que contenían información personal sobre los residentes del municipio, incluidos historiales médicos confidenciales y expedientes de los servicios sociales. El municipio no pudo hacer nada para detener la difusión.
Las consecuencias fueron devastadoras. Hubo que formatear alrededor de 1 000 ordenadores y reinstalarlos desde cero. El coste total ascendió a aproximadamente 35 millones de coronas. Datatilsynet, la autoridad noruega de protección de datos, investigó el caso y concluyó que el municipio había fallado en múltiples frentes: ausencia de autenticación de dos factores, registros inadecuados, procedimientos de copia de seguridad deficientes y una cultura de seguridad débil. La multa ascendió a 4 millones de coronas, y la autoridad señaló que las deficiencias constituían una negligencia grave.
El ataque a Østre Toten sigue siendo el peor ciberataque sufrido por un municipio noruego. Se convirtió en una advertencia a nivel nacional sobre cómo los sistemas informáticos de un pequeño municipio rural pueden ser tan vulnerables como los de cualquier gran empresa, y lo devastadoras que pueden ser las consecuencias cuando se descuidan los aspectos básicos de la ciberseguridad.
El municipio no tenía forma de recuperarse. El correo electrónico había desaparecido. Los historiales de los pacientes de los servicios de asistencia habían desaparecido. Las solicitudes de construcción, los registros fiscales, las comunicaciones internas… todo ello bloqueado tras claves de cifrado que solo poseían los hackers. El personal de los servicios sanitarios, los colegios y la administración tuvo que recurrir al papel y al lápiz. Las enfermeras escribían las notas de los pacientes a mano. Los profesores se las arreglaron sin herramientas digitales. El personal administrativo desenterró archivos físicos que no se habían tocado en años.
La situación empeoró. El 31 de marzo, los hackers publicaron los datos robados en la dark web. Aparecieron en línea aproximadamente 30 000 documentos que contenían información personal sobre los residentes del municipio, incluidos historiales médicos confidenciales y expedientes de los servicios sociales. El municipio no pudo hacer nada para detener la difusión.
Las consecuencias fueron devastadoras. Hubo que formatear alrededor de 1 000 ordenadores y reinstalarlos desde cero. El coste total ascendió a aproximadamente 35 millones de coronas. Datatilsynet, la autoridad noruega de protección de datos, investigó el caso y concluyó que el municipio había fallado en múltiples frentes: ausencia de autenticación de dos factores, registros inadecuados, procedimientos de copia de seguridad deficientes y una cultura de seguridad débil. La multa ascendió a 4 millones de coronas, y la autoridad señaló que las deficiencias constituían una negligencia grave.
El ataque a Østre Toten sigue siendo el peor ciberataque sufrido por un municipio noruego. Se convirtió en una advertencia a nivel nacional sobre cómo los sistemas informáticos de un pequeño municipio rural pueden ser tan vulnerables como los de cualquier gran empresa, y lo devastadoras que pueden ser las consecuencias cuando se descuidan los aspectos básicos de la ciberseguridad.
