La ICO reprende a la Comisión Electoral del Reino Unido por un ciberataque que expuso datos de votantes.
Hackers accedieron a la información de 40 millones de personas.
La Oficina del Comisionado de Información (ICO) ha realizado una reprimenda a la Comisión Electoral del Reino Unido (EC) tras un ataque cibernético que comprometió la información personal de 40 millones de personas. Este incidente se produjo en agosto de 2021, cuando los hackers lograron infiltrarse en los servidores mediante la suplantación de identidad de usuarios y aprovechando vulnerabilidades que, aunque conocidas, no habían sido corregidas.
Los atacantes tuvieron acceso a los sistemas, que contenían nombres y direcciones, hasta octubre de 2022, accediendo a la información en múltiples ocasiones durante ese lapso. La crítica por parte de la ICO se debió a la falta de medidas de seguridad adecuadas que debieron implementarse para proteger la información personal de los votantes registrados. Las vulnerabilidades que los atacantes explotaron fueron parches en abril y mayo de 2021; sin embargo, la Comisión Electoral no aplicó dichas actualizaciones.
Además, muchos de los cuentas en la Comisión Electoral continuaban utilizando contraseñas predeterminadas o débiles, lo que probablemente facilitó la suplantación de cuentas y el acceso a los servidores. Tras la violación de datos, la EC implementó mejoras de seguridad y un plan de mejora de infraestructuras, así como prácticas recomendadas para la gestión de contraseñas y la autenticación multifactor para todos los usuarios.
Stephen Bonner, Comisionado Adjunto de la ICO, hizo comentarios sobre la reprimenda, afirmando que la Comisión Electoral maneja la información personal de millones de personas que esperan ver sus datos protegidos. Bonner remarcó que de haberse tomado medidas básicas para salvaguardar sus sistemas, como el parcheo efectivo de seguridad y una adecuada gestión de contraseñas, es muy probable que esta brecha de datos no hubiera ocurrido.
El comisionado concluyó resaltando la importancia de que todas las organizaciones tomen medidas proactivas y preventivas para garantizar la seguridad de sus sistemas, advirtiendo que la falta de implementación de las actualizaciones de seguridad puede poner en riesgo la información personal de las personas y conllevar acciones de cumplimiento, tales como multas.
- seguridad informática
- protección de datos
- ciberseguridad
