(CNN) – La Oficina del Censo de EE.UU. fue hackeada en enero de 2020 después de que una serie de pasos en falso dejaran una vulnerabilidad de software crítica sin corregir durante semanas, según un informe del inspector general del Departamento de Comercio.
El informe publicado este lunes no solo culpa a la Oficina del Censo por no prevenir el ciberataque, sino también por fallar en su respuesta al incidente.
El ciberataque no pareció afectar ningún sistema directamente relacionado con el Censo de 2020 ni con el conteo en sí, dijo el director interino de la Oficina, Ron Jarmin, en una respuesta formal incluida en el informe final del inspector. Pero la infracción y la posterior investigación del inspector general muestran cuán poco preparadas están algunas agencias federales contra los atacantes digitales sofisticados.
No queda claro en el informe quién llevó a cabo el ataque a los sistemas de la Oficina del Censo o qué vulnerabilidad específica se aprovechó en el ataque.
Cómo actuaron los atacantes
El 11 de enero de 2020, los atacantes utilizaron una falla de software conocida públicamente para ingresar a los servidores de la oficina utilizados para respaldar el trabajo de acceso remoto, según el informe.
Los firewalls de las agencias impedían en gran medida que el software malicioso recibiera más instrucciones de servidores externos controlados por los piratas informáticos. Pero el malware aún podía causar estragos por sí solo al crear nuevas cuentas de usuario no autorizadas en los servidores.
La oficina recibió por primera vez una advertencia de la vulnerabilidad del proveedor del servidor más de tres semanas antes de que ocurriera el ataque, según el informe, y los funcionarios de CISA también discutieron la falla con los funcionarios de la oficina en el período previo al ataque.
Pero la oficina no revisó proactivamente los servidores afectados en busca de ataques, no tenía sistemas de monitoreo automatizados para advertir si había ocurrido un ataque y no se enteró del ataque hasta 17 días después, el 28 de enero.
Más de un año después, en febrero de 2021, la Oficina del Censo todavía estaba usando esos mismos servidores hackeados. Para entonces estaban obsoletos y ya no eran compatibles con el proveedor con correcciones o actualizaciones adicionales, según el informe, a pesar de un plan de migración de herramientas de acceso remoto a nuevos servidores.
La Oficina del Censo y el Departamento de Comercio coincidieron con los nueve cambios recomendados descritos en el informe del inspector general, incluida la actualización de los planes de respuesta a incidentes y la garantía de que todos los dispositivos de la agencia conectados a Internet se escaneen en busca de vulnerabilidades.