A partir del 17 de abril de 2022 y durante varios meses, Costa Rica sufrió un ataque cibernético del grupo Conti que afectó diversas plataformas públicas, generó inconvenientes a miles de usuarios y hasta provocó perjuicios económicos.
Meses antes de que esto ocurriera, la expertos israelíes en ciberseguridad advirtieron a la administración de Carlos Alvarado sobre la alta posibilidad que tenía el país de sufrir este tipo de golpes, debido a su vulnerabilidad en materia informática.
Amir Rockman, cónsul israelí en territorio costarricense, comentó a La Nación que en el 2021 un grupo de expertos provenientes de su país, considerado potencia en ciberseguridad, le señalaron los riesgos a las autoridades de ese entonces.
Rockman manifestó que los especialistas incluso le hicieron un planteamiento al Poder Ejecutivo para “blindar” los sistemas informáticos públicos. “Lamentablemente no aceptaron la propuesta”, aseveró.
“No sé por qué el Gobierno no firmó y no avanzó con los representantes de las compañías israelíes aquí en Costa Rica. Es mucho más fácil prevenir (un ataque) que manejarlo y es más barato”, manifestó el diplomático.
Según datos del Ministerio de Ciencia, Tecnología y Telecomunicaciones (Micitt), el gobierno tuvo que destinar ₡13.400 millones a la atención directa del incidente, tanto con recursos propios de las entidades como del Fondo Nacional de Emergencias (FNE).
De acuerdo con Paula Brenes, directora de gobernanza del Micitt, todavía en la actualidad “hay herramientas que están en proceso de compra, pues siguen el procedimiento de contratación administrativa”.
El Ministerio de Hacienda, la Caja Costarricense de Seguro Social (CCSS), el Ministerio de Educación Pública (MEP) fueron algunas de las principales instituciones que se vieron afectadas por el “hackeo” de los sistemas informáticos.
LEA MÁS: Conti usó a Costa Rica para crear nuevos grupos de ‘hackers’
Pese a esta experiencia, Rockman considera que el país tiene el potencial para convertirse en un líder centroamericano en temas de ciberseguridad.
La Nación buscó a Paola Vega, quien fungió como jerarca del Micitt en la administración pasada, para consultar las razones por las que no se aceptó la propuesta de Israel; pero al cierre de esta información no se había recibido respuesta a las llamadas ni mensajes.
El exviceministro de telecomunicaciones, Edwin Estrada, consideró que no se puede comparar la inversión que se debe hacer para prevenir un ciberataque, “que definitivamente sí es cara”, con los posibles daños que sufriría el país.
“Si se monetizan las pérdidas que se tuvieron, van a ser mucho mayores que el dinero que se pudo haber gastado para el tema de prevención”, aseveró Estrada.
Campo de entrenamiento
Conti utilizó a Costa Rica como un “terreno de juego” para mostrar al mundo lo que puede hacer en materia de criminalidad cibernética. De hecho, después del 17 de abril del 2022, todos los portales tecnológicos informaron de que el grupo estaba más activo que nunca.
El país no pagó nada a los cibercriminales, decisión destacada por Israel ya que el cónsul Rockman explicó que la cantidad de dinero que grupos como Conti ganan con este tipo de ataques “es muchísima”.
“Lo que me comentan algunos expertos en el tema, es que Conti gana mucho más dinero y le dicen a otros países ‘mirá lo que hicimos en Costa Rica’. Sino quieren que pase eso, paguen ya”, manifestó Rockman.
LEA MÁS: Este es uno de los líderes del grupo ‘hacker’ que atacó a Costa Rica: dan $10 millones por él
El exviceministro Estrada consideró que un ciberataque puede dejar otro tipo de consecuencias negativas al país con respecto a los mercados internacionales.
“Las empresas, a la hora de tomar la decisión de instalarse en un país, toman en cuenta muchas cosas e inclusive el tema de ciberseguridad
Entonces, el hecho de que Costa Rica haya sufrido estos ataques, le restó puntos en la competitividad internacional y ya eso es grave”, aseveró el también consultor en tecnologías de información.
Centro de Ciberseguridad
A pesar de lo ocurrido con Conti, desde la Embajada de Israel insisten en que el país tiene el potencial para convertirse en un líder centroamericano en temas de ciberseguridad, siempre y cuando los gobiernos tengan presente que se debe hacer una inversión económica.
“Lo que Costa Rica puede hacer es un centro regional de ciberseguridad porque ustedes tienen aquí más educación, más ingenieros, que todos los países de la región y ustedes pueden cambiar eso”, insistió Rockman.
La directora de gobernanza del Micitt, Paula Brenes, indicó que “desde el 16 de noviembre (de 2022) ya se encuentran 12 personas trabajando en el Centro de Respuesta de Incidentes de Seguridad Informática (CSIRT-CR) para una atención en horario 24/7”.
Además, explicó que en alianza con la Unión Europea y la Organización de Estados Americanos (OEA) se realizó un estudio de vulnerabilidades y riesgos a más de 17 entidades de servicios críticos en cumplimiento con prácticas del National Institute of Standards and Technology (NIS).
Por otro lado, indicó que con las herramientas instaladas actualmente se atendieron alrededor de 734.000 alertas en 167 instituciones desde mayo 2022 hasta inicios del 2023.
No obstante, este jueves, la Contraloría General de República (CGR), emitió un informe donde dice que “el sector público se enfrenta ante la incertidumbre de no tener claridad sobre la magnitud y cantidad de incidentes que actualmente han logrado vulnerar los sistemas informáticos, con el potencial de afectar la continuidad de los servicios públicos y la salvaguarda de la información”.
“No es oportuna la gestión de incidentes de ciberseguridad por parte del Micitt pues de 7 ciberataques materializados en diversas instituciones públicas identificados por la Contraloría, el Micitt solo tenía conocimiento de uno y además tardó 44 días hábiles para informar de los incidentes a las instituciones correspondientes”, dijo Lía Barrantes, gerente interina de Fiscalización para el Desarrollo.
El ente contralor, además, llamó la atención de la Comisión Nacional de Emergencias (CNE) por su poca participación en la sala de análisis de situación nacional aún cuando está llamada a ser líder.
Diputados a la espera de proyecto
José Joaquín Hernández, presidente de la Comisión de Ciencia, Tecnología y Educación del Congreso, afirmó que el tema de ciberseguridad es prioritario para ellos y que por ello están esperando que el Ejecutivo convoque la “Ley de ciberseguridad de Costa Rica.
“Este proyecto tiene un objetivo fundamental que es preparar al país en esta materia y poder tener las herramientas necesarias para combatir a estos ciberdelincuentes.
Hay países muy adelantados en esta materia en la cual más bien, bajo convenios, Costa Rica podría recibir ayudas y softwares que nos pongan en una situación más segura”, manifestó el diputado liberacionista.
LEA MÁS: Plan propone multas de hasta ¢7 millones por descuidos en ciberseguridad de entidades
Leslye Bojorges, legislador del Partido Unidad Social Cristiana (PUSC), coincidió en cuanto a la importancia de esa iniciativa. Aseguró que la actual Asamblea Legislativa debe heredarle a Costa Rica un cuerpo jurídico robusto en materia de ciberseguridad.
“El grupo Conti puso en evidencia los problemas en ciberseguridad que tiene Costa Rica y muchas otras instituciones del Estado costarricense se pusieron en riesgo-
Inclusive el grupo Conti puso en riesgo la seguridad social porque el Ministerio de Salud y la CCSS tuvieron que paralizar los servicios de salud a la población y no sabemos hasta dónde llegaron los daños”, aseveró.
El Congreso se encuentra en el periodo de sesiones extraordinarias. Lo anterior quiere decir que el Poder Ejecutivo maneja la agenda de los diputados, por lo que tienen hasta el 31 de enero para convocar el proyecto de ley.
Si no lo hacen desde Zapote, después de esa fecha los diputados podrían incluirlo en sus discusiones.