Grupo Rutify publicó información sensible, como enfermedades GES, de cientos de chilenos
La agrupación de ciberdelincuentes ingresó a los sistemas de varios servicios públicos, entre ellos Fonasa.
Un estudiante de 18 años es acusado por el Ministerio Público de liderar una agrupación de ciberdelincuentes dedicada a atacar sitios web de instituciones públicas y privadas con el fin de filtrar las enormes bases de datos que se alojan en esos sitios y que contienen información sensible de millones de chilenos. El muchacho, quien fue detenido por la Policía de Investigaciones (PDI), pertenecía al grupo Rutify y era conocido en el mundo virtual como Igna.
Filtración
La filtración de Rutify se dio a conocer el 30 de abril de este año, cuando la PDI detectó que el sitio web rutificador.live publicó información sensible de millones de ciudadanos. Además del nombre, dirección y RUT, la web exponía las enfermedades de pacientes ingresados en el sistema de Garantías Explícitas en Salud (GES). Los datos, eso sí, solo estuvieron 48 horas en línea debido a que los atacantes notaron que la policía iría por ellos y decidieron dar de baja la página. Pero la filtración ya estaba hecha.
Según el persecutor Miguel Ángel Orellana, jefe de la Fiscalía Supraterritorial, las instituciones vulneradas fueron el Servicio Nacional del Consumidor (Sernac), la Tesorería General de la República, el Fondo Nacional de Salud (Fonasa), la Secretaría de Gobierno Digital, el Instituto de Previsión Social (IPS), la Municipalidad de Las Condes, algunas empresas privadas, entre otros.
Rutify
Tras la filtración, los atacantes comentaron la supuesta hazaña en un canal de Telegram llamado Rutify y se jactaron de lo fácil que era vulnerar sistemas informáticos en Chile. «Deberían darnos las gracias por exponer estos datos y abrirle los ojos… Siempre la seguridad fue una basura y lo será hasta que en tecnología dejen de dar clases de cómo hacer PDFs… Me hubiera gustado aprender la base de la ciberseguridad en el colegio», publicó Rossy. Igna, en cambio, destacó su edad: «Con 17 años brecheamos Chile».
De acuerdo a la investigación, Igna fue quien atacó a los sitios web institucionales, obtuvo y filtró la información extraída; mientras que Rossy fue el encargado de desarrollar la tecnología para vulnerar los sistemas. Según los datos de la policía, los ciberdelincuentes no se conocían cara a cara y eran amigos por mensajería. El vínculo, de hecho, nació hace varios años mientras jugaban Roblox y Minecraft, cuando tenían 16 años, edad en que comenzaron los ciberataques.
«La investigación la iniciamos en mayo de este año. Nos dimos cuenta de que terceras personas filtraban la información debido a malas configuraciones en los servidores de algunos sitios web de instituciones públicas y privadas», explica el subprefecto Marcelo Wong, jefe nacional de Cibercrimen de la PDI.
¿Cómo lograron ingresar a los sistemas?
«Utilizaron un ataque que se llama web scraping. En palabras simples, es una técnica automatizada para extraer información y datos de sitios web. En este caso detectamos que había fallas en las líneas de códigos de los sitios. Por ejemplo, puede que al administrador se le haya olvidado disponer de la seguridad necesaria o dejó una contraseña olvidada en el código. Un fallo en la línea de código posibilita que un atacante ingrese al servidor, ejecute un ataque y obtenga privilegios de administrador que le permitan obtener datos».
¿Cuál era el objetivo, subprefecto?
«Se estableció que hubo comercialización de la base de datos. Recordemos que hay bastante público que compra bases de datos, los mismos ciberdelincuentes, los estafadores digitales. Esas bases, además, pueden ser utilizadas para ataques más quirúrgicos como el phishing o por empresas que hacen marketing. Hay una amplia gama de compradores porque las bases de datos hoy son moneda de cambio digital, se pagan. Pero también, en este caso, se expuso públicamente para hacer ostentación. Generalmente, los ciberdelincuentes buscan reputación».
