El Ministerio de Salud almacenaba datos personales sin cifrar. Urgente: cambiar claves.
Un archivo con información personal de 25.000 aplicantes al examen de residencia en Medicina se filtró este viernes, exponiendo números de DNI, teléfonos, correos electrónicos y usuario y contraseña de los anotados. La información fue confirmada a Clarín por fuentes del Ministerio de Salud: “Fue un error puntual del desarrollador del sistema”, explicaron.
Si bien la brecha de seguridad ya fue solucionada y la información no se puede descargar del sitio oficial, el archivo ya está circulando y esto conlleva un peligro enorme para la seguridad de los que aplicaron al examen: sus datos personales ya están en circulación.
Durante la tarde de este viernes, varios usuarios de Twitter advirtieron la situación, a partir de la corroboración del incidente por parte de la cuenta de graduados de Medicina de Instagram, que llamó a cambiar contraseñas para evitar más problemas entre los afectados.
Según un informe técnico oficial el incidente duró 13 minutos: entre las 09:49 y las 10:02. Durante ese tiempo, los datos personales de los 25 mil aspirantes estuvieron disponibles para ser descargados.
Advertencia de cambio de contraseña. Foto Instagram
El problema principal es que los datos estuvieran almacenados sin ningún tipo de medida de seguridad para proteger la información, razón por la cual se pudieron descargar en un archivo .csv, similar a un .txt.
“No me alcanzan las palabras para explicar lo bruto que hay que ser para, en pleno 2021, almacenar contraseñas en texto plano. Además de ser una burrada en términos de seguridad, ya es violatorio de los derechos de los usuarios (porque aunque no se filtren, el administrador del sistema puede ver las claves)”, explicó a Clarín Javier Smaldone, experto informático.
Es urgente que los que aplicaron al examen cambien sus contraseñas, si es que todavía no lo hicieron: “La gente ahora va a tener que cambiar sus claves… en el mail (y las redes sociales, porque con el número de celular alcanza para loguearse). Lamentablemente, no puede cambiar el resto de sus datos personales”, agregó Smaldone.
Desde la cartera que dirige Carla Vizzotti se desligaron de responsabilidades: “A partir de la publicación involuntaria de datos de los inscriptos al examen único digital y ubicuo del Sistema Nacional de Residencias en Salud, el Ministerio de Salud de la Nación aclara que se trató de un error humano, ajeno a esta cartera, e independiente de la seguridad del sistema”, explicó el Director de Talento Humano, de la subsecretaría de Calidad, Regulación y Fiscalizacion del Ministerio de Salud, Emiliano López.
El archivo en circulación
El padrón, al cual se pudo acceder desde el sitio oficial del Ministerio de Salud, publicó los datos personales de los anotados durante un corto período de tiempo.
En Twitter, varios usuarios también intentaron difundir la situación. Otros usuarios advirtieron de la importancia de comunicar el hecho para que los afectados cambien sus claves:
La información ya no se encuentra disponible para descargar. El problema es que, una vez que circulan este tipo de archivos, las contraseñas y datos personales pueden venderse para que cibercriminales hagan uso de ellas: desde robar información personal hasta extorsionar a los involucrados.
El archivo con las claves llegó a ser, incluso, motivo de humor en redes.
La vulnerabilidad de las contraseñas reutilizadas
Hay un segundo problema asociado a las contraseñas que excede al padrón de la inscripción a los exámenes: uno de los errores más frecuentes es repetir claves en las distintas plataformas (y, según Google, empleado por el 52% de los usuarios).
Repetir contraseñas simples en todos los servicios que usamos es una invitación a lo que se conoce como “credential stuffing“, una práctica en la cual ciberdelincuentes “barren” a partir de bots los inicios de sesión en diversos servicios hasta que logran entrar debido a que, precisamente, repetimos la misma clave en todos lados.
Una de las soluciones ante estos escenarios es usar un gestor de contraseñas.
La explicación oficial
Carla Vizzotti, ministra de Salud de la Nación. Foto DPA
Consultado por Clarín, Emiliano López, quien confeccionó los informes técnicos sobre el incidente para el Ministerio de Salud, detalló la explicación oficial de la filtración. La reproducimos a continuación:
A partir de la publicación involuntaria de datos de los inscriptos al examen único digital y ubicuo del Sistema Nacional de Residencias en Salud, el Ministerio de Salud de la Nación aclara que se trató de un error humano, ajeno a esta cartera, e independiente de la seguridad del sistema.
Se trató de un problema de procedimiento técnico en la publicación del padrón de habilitados para rendir, a través del cual se pudo acceder al nombre de usuario y contraseña de los inscriptos. El error involuntario producido por un analista informático de la Universidad Tecnológica Nacional fue enmendado rápidamente y la UTN estableció la modificación de las claves de los usuarios/postulantes para las futuras acciones relacionadas al examen mediante la plataforma.
Cabe mencionar que el sistema de inscripción ya se encontraba cerrado, motivo por el cual no hubo posibilidades de ingresar al sistema de registro y modificar datos.
- Ayer a las 10.45 se reportó un incidente de difusión de datos personales de 25.000 personas por redes sociales y luego de 15 minutos, se resolvió la falla.
- Tras un análisis, se detectó que el origen del problema fue un error humano de publicación de un listado incorrecto. En lugar de acceder al padrón provisorio de los habilitados para rendir el examen, se podía descargar una base con datos de las personas que se registraron al sistema.
- En el marco de la pandemia de COVID-19, en septiembre de 2020 se realizó por primera vez con modalidad digital el examen único del Sistema Nacional de Residencias en Salud, como así también el proceso de adjudicación.
- A partir de los resultados y de la situación epidemiológica, en diciembre de 2020 las autoridades del Ministerio de Salud de la Nación y la Comisión Asesora de la dirección conformada por todas las jurisdicciones definieron la misma modalidad digital para el examen del año 2021. Para ese fin, se llevó a cabo un convenio con la Universidad Tecnológica Nacional, Regional Avellaneda, en un sistema integral de información.
- En virtud de la continuidad de las medidas de cuidados por la pandemia y ante la dificultad de recibir la documentación en papel y de manera personal para la inscripción, el Ministerio de Salud de la Nación, a través de un convenio, le solicitó a la Universidad Tecnológica Nacional una serie de desarrollos informáticos que permitan: la solicitud y oferta de cupos nacionales y provinciales; un sistema de inscripción con integración de sistemas (Ministerio de Educación y universidades); habilitación digitalizada y descentralizada, suba de exámenes con procedimientos y estándares de seguridad de la información.