La Caixa Andorrana de Seguretat Social (CASS) ha detectat un incident de seguretat que ha permès a tercers no autoritzats consultar dades personals d’un nombre elevat d’afiliats a través del portal d’empreses. Segons ha informat l’organisme en un comunicat, l’accés s’ha produït mitjançant certificats digitals de la CASS sostrets a diversos declarants, que els atacants han utilitzat per entrar a les seves àrees privades.
Un cop dins del portal, els autors de l’accés indegut han aprofitat una funcionalitat que permet consultar les dades associades a un número d’identificació administrativa (NIA). Aquesta eina està pensada perquè les empreses puguin comprovar la identitat d’un treballador en el moment de donar-lo d’alta. A partir d’aquesta opció, els atacants han provat múltiples combinacions de sis xifres i una lletra fins a identificar un nombre elevat de NIA vàlids i obtenir les dades personals vinculades.
La informació consultada inclou el nom i els cognoms, el sexe, la data i el lloc de naixement de les persones associades als identificadors. La CASS, però, assegura que no ha detectat cap accés directe a les seves bases de dades ni als sistemes que emmagatzemen la informació dels afiliats. Per tant, segons l’organisme, no s’ha accedit a dades sanitàries, econòmiques ni relatives a les prestacions.
Protocols de seguretat activats
Tan bon punt ha tingut coneixement de l’incident, la CASS ha activat els protocols de seguretat i ha adoptat mesures tècniques i organitzatives per contenir-lo i evitar que es repeteixi. L’organisme assegura que el portal ja funciona amb normalitat i que els serveis habituals continuen operatius.
Així mateix, ha informat de l’incident les autoritats competents, entre les quals la Policia, l’Agència Andorrana de Protecció de Dades i l’Agència Nacional de Ciberseguretat d’Andorra. La investigació continua oberta per determinar l’abast exacte de l’accés indegut.
Recomanació de mantenir-se alerta
La CASS adverteix que, tot i que el NIA no és un document d’identitat, es tracta d’un identificador administratiu permanent que, combinat amb altres dades personals, podria facilitar intents de suplantació d’identitat, comunicacions fraudulentes o peticions d’informació en serveis que no comprovin adequadament la identitat de l’interlocutor.
L’organisme assenyala que, de moment, no té constància de cap ús fraudulent de les dades que podrien estar relacionades amb l’incident. Tot i això, recomana als afiliats mantenir-se alerta davant de comunicacions sospitoses i no facilitar informació personal o confidencial a persones o entitats de les quals no puguin verificar la identitat.
En cas de detectar qualsevol activitat sospitosa, es pot contactar amb la CASS al telèfon 870 870 o a través del correu electrònic cau@cass.ad, així com amb la Policia. Per a consultes sobre la protecció de dades personals, l’organisme posa a disposició el correu del delegat de protecció de dades, dpd@cass.ad.