Los datos de 1.200 funcionarios y miembros del Parlamento Europeo han sido expuestos, según informa la web Político. Así lo ha confirmadoMarcel Kolaja, vicepresidente de la Institución en Tecnologías e Innovación de Estrategia. Kolaja, ingeniero de software checo, miembro del Partido Pirata, integrante delgrupo parlamentario Greens–European Free Alliance, ha definido lo ocurrido como una"violación importante de datos".
La brecha ha expuesto no solo 1.200 cuentas de funcionarios y personal electo con información sensible y confidencial y contraseñas privadas, también 15.000 cuentas de profesionales de asuntos de la UE.
Los populares restan importancia al ciber incidente
El problema proviene de un sistema ejecutado bajo el dominio oficial "europarl.eu" del Parlamento Europeo, dijo Kolaja, pero los datos no habían sido alojados por la propia institución. El grupo que se ha visto afectado, según Político, ha sido el Partido Popular Europeo, que fue quien puso en marcha ese sistema, afirma el eurodiputado checo. "Y se les informó inmediatamente de ese incidente", ha manifestado a este medio Marcel Kolaja, que no ha querido confirmar que hayan sido los responsables y los afectados en esta brecha de seguridad que considera grave. Aunque por los datos facilitados, dado que el PPE es el que cuenta con una mayor representación, lo estaba dejando meridianamente claro.
Según fuentes relacionadas con el Partido Popular Europeo, Marcel Kolaja ha exagerado la gravedad del incidente.
Escudo Digital se ha puesto en contacto con el portavoz del grupo EPP, Pedro López de Pablo, quien nos ha enviado el siguiente comunicado del cual adjuntamos PDF en inglés y ha restado importancia a lo ocurrido. Ha sido redactado por el equipo de informática del PPE para informar al Data Protection Officer y a los usuarios. Los datos expuestos son de agosto de 2018 y el moderno sistema impuesto para cambiar regularmente la passwords limita las consecuencias del ciber incidente Se ha informado a los afectados de forma inmediata. Pedro López de Pablo nos ha facilitado un comunicado elaborado por su grupo parlamentario, parte del cual procedemos a traducir:
- Una empresa privada denominada ShadowMap, con sede en India, que afirma ser una plataforma digital de gestión de riesgos, informó al EP a través de Twitter, el viernes 15 de mayo de 2020 por la tarde, sobre una posible violación de datos de una base de datos de la UE.
- A las 14:31 horas pm, esta empresa logró acceder a una copia de seguridad de la base de datos del Grupo EPP desactualizada, expuesta en un servidor de subcontratista externo. Posteriormente, EP security, EPP IT y la compañía subcontratista que accedió a las 22:35 del mismo día tuvieron acceso.
- La base de datos contiene direcciones de correo electrónico y principalmente datos públicos del 1 de agosto de 2018. (Anexo 1). La única información confidencial eran las contraseñas vinculadas a la cuenta necesarias para configurar las preferencias de nuestra antigua plataforma de boletines. Las contraseñas fueron encriptadas individualmente. Esto significa que estaban muy protegidos. De hecho, estaban doblemente protegidos, y parece muy poco probable que los expertos de TI puedan descifrarlo.
- Podemos asegurarnos de que, excepto esta compañía, nadie más haya copiado esta base de datos de respaldo antes. (Anexo 2). Sin embargo, no sabemos la intención real de esta empresa o si han enviado la base de datos a otra persona. Probablemente, solo querían promocionar sus servicios de seguridad, ya que usaban Twitter para anunciar el archivo expuesto. En cualquier caso, no podían hacer nada malicioso con estos datos.
- Este incidente no tiene ninguna consecuencia en nuestros sistemas de TI o EP IT Systems, ya que no existe absolutamente ningún vínculo entre estas copias de seguridad de datos y otros sistemas de información.
"Mientras tanto, hemos auditado a nuestros servidores de Internet con respecto a posibles amenazas, los resultados fueron negativos. En otras palabras, no ha habido piratería de nuestros servidores. También me gustaría informarle que nuestros servidores de Internet son atacados casi a diario y que estamos monitorizando estos ataques constantemente".
Hemos informado al Oficial de Protección de Datos del PE de esta posible filtración el sábado 16 de mayo de 2020 por la mañana.
El EP CISO (Director de Seguridad de la Información) ha informado a otras instituciones de la UE de esta fuga potencial y al EU-CERT (Equipo de respuesta ante emergencias informáticas) el sábado 16 de mayo de 2020.
Hemos informado al Supervisor Europeo de Protección de Datos (SEPD) el lunes 18 de mayo de 2020.Hemos informado a todos los usuarios afectados el sábado 16 de mayo de 2020 por la noche mediante un breve mensaje de correo electrónico sobre "Comunicación importante con respecto a su dirección de correo electrónico". La base de datos tenía 16.715 entradas en total.
Creemos que esta violación de datos se refirió finalmente a no más de 8.500 suscriptores o direcciones de correo electrónico que podemos identificar, como se muestra a continuación:
- 393 eurodiputados EPP o antiguos eurodiputados EPP
- 493 miembros del personal del EPP o ex miembros del personal
-
1303 usuarios de instituciones de la UE
- 1070 de EP
- 91 de la CE
- 10 del Consejo - 4.526 Periodistas o miembros de nuestro servicio de prensa.
Total identificado: 16. 715
Según el PPE el único riesgo sensible es el de las passwords encriptadas, unas 2.925
En un total de 16. 715 entradas, estimamos que un mínimo de 8.000 entradas son direcciones de correo electrónico masivo o spam, pero es difícil tener el número exacto. Tenemos 5.790 que nunca se conectaron, por lo tanto, quienes no habían ingresado ninguna contraseña. En consecuencia, la posible fuga de contraseñas cifradas se refiere a 2.925 direcciones de correo electrónico.
Añaden también que el únco riesgo sensible es el de las passwords encriptadas , que evalúan en unas 2.925, que podrían haber sido hackeadas.