Una supuesta filtración masiva pone el foco sobre la seguridad de los sistemas públicos
Una alerta difundida en la comunidad de ciberseguridad asegura que un actor de amenazas habría robado cerca de dos millones de registros del Ministerio de Asuntos Exteriores. Hasta ahora, no existe confirmación oficial del incidente.
📌 En resumen
- Una publicación afirma el robo de 1.953.721 registros del Ministerio de Asuntos Exteriores.
- El supuesto ataque habría explotado una vulnerabilidad de tipo IDOR.
- No existe confirmación oficial ni evidencia pública independiente de la filtración.
- El principal riesgo sería el uso de los datos para campañas de phishing e ingeniería social.
Una alerta publicada en redes sociales ha situado al Ministerio de Asuntos Exteriores, Unión Europea y Cooperación en el centro de la atención de la comunidad de ciberseguridad. Según la información difundida, un actor de amenazas afirma haber accedido a una base de datos del organismo y haber extraído cerca de dos millones de registros.
El supuesto ciberataque al Ministerio de Asuntos Exteriores continúa sin confirmación oficial. Por el momento, toda la información disponible procede de las afirmaciones del presunto atacante y de una alerta publicada por una cuenta especializada que mantiene el incidente como pendiente de verificación.
Ni el Ministerio ni las autoridades españolas han confirmado hasta ahora que la filtración se haya producido, por lo que conviene interpretar toda la información con cautela hasta que existan evidencias verificables.
Una alerta que todavía no ha podido verificarse
La información comenzó a circular tras una publicación de la cuenta especializada Hackmanac en la red social X, conocida por monitorizar incidentes de ciberseguridad detectados en distintos países.
Según esa publicación, un actor identificado como GordonFreeman asegura haber obtenido acceso a los sistemas del Ministerio y haber extraído 1.953.721 registros con información personal y técnica.
Sin embargo, la propia alerta aparece marcada como pendiente de verificación, lo que significa que no existe una confirmación independiente que respalde las afirmaciones realizadas por el supuesto atacante.
El fallo utilizado sería una vulnerabilidad IDOR
De acuerdo con la información difundida por el presunto responsable, el acceso se habría producido mediante una vulnerabilidad IDOR (Insecure Direct Object Reference).
Este tipo de fallo aparece cuando una aplicación web permite acceder a recursos internos modificando identificadores sin comprobar correctamente si el usuario tiene autorización para consultar esa información.
En escenarios donde una aplicación almacena grandes volúmenes de datos, una vulnerabilidad IDOR puede permitir acceder a información restringida sin necesidad de comprometer cuentas con privilegios administrativos.
Qué datos habrían sido obtenidos
Según las afirmaciones del supuesto atacante, la base de datos contendría información tanto personal como técnica.
Entre los datos que presuntamente habrían sido extraídos figuran:
- Nombres y apellidos.
- Direcciones de correo electrónico principales y secundarias.
- Fechas de nacimiento.
- Nacionalidades.
- Números de teléfono.
- Información vinculada a documentos de identidad.
- Direcciones postales.
- Identificadores de usuario.
- Metadatos del sistema.
- Identificadores de empresas.
- Direcciones IP internas.
- Tokens de autenticación CSRF.
Si la filtración terminara confirmándose, podría convertirse en uno de los incidentes de seguridad más relevantes sufridos por una institución pública española durante los últimos años.
Por qué preocupa una filtración de este tipo
Una brecha de datos no implica necesariamente que los sistemas permanezcan comprometidos, pero sí puede facilitar futuras campañas de ciberdelincuencia.
La combinación de nombres, correos electrónicos, teléfonos y otra información personal permitiría construir perfiles muy detallados de posibles víctimas para lanzar campañas de phishing, fraudes personalizados o ataques de ingeniería social con una elevada apariencia de legitimidad.
Además, al tratarse de información vinculada a un organismo público, los ciberdelincuentes podrían utilizar la identidad del Ministerio para aumentar la credibilidad de correos electrónicos o mensajes fraudulentos.
Los datos técnicos también llaman la atención
Uno de los aspectos que más interés ha despertado entre los investigadores es la supuesta presencia de direcciones IP internas y tokens CSRF dentro de la información filtrada.
Los tokens CSRF forman parte de los mecanismos de protección utilizados por numerosas aplicaciones web para impedir ataques de falsificación de peticiones. Su exposición no supone automáticamente un acceso a los sistemas, especialmente cuando dichos tokens han expirado.
No obstante, junto con otros metadatos técnicos, podrían proporcionar información útil sobre la arquitectura tecnológica utilizada por la organización y facilitar futuras investigaciones por parte de actores maliciosos.
Sin confirmación oficial por el momento
A pesar de la repercusión que está generando la alerta en redes sociales y en distintos foros especializados en ciberseguridad, no existe actualmente ninguna evidencia pública que confirme la autenticidad del supuesto ciberataque.
El Ministerio de Asuntos Exteriores tampoco ha emitido hasta ahora ningún comunicado sobre una posible brecha de seguridad o filtración de datos.
Hasta que exista una investigación oficial o aparezcan pruebas técnicas independientes, el incidente debe considerarse una presunta filtración pendiente de verificación. En este tipo de situaciones es habitual que las autoridades analicen internamente las afirmaciones antes de confirmar o descartar la existencia de un compromiso real de sus sistemas.
