La Generalitat expone los datos de cinco millones de catalanes

Cuando las cosas se hacen rápido y mal el resultado suele ser algo similar a lo que está ocurriendo en Cataluña estos días. Bajo la bandera del sentimiento nacionalista y, quizás movida por motivos no tan románticos, la Generalitat convocó el pasado domingo un referéndum ilegal que fue contundentemente intervenido por diferentes cuerpos y fuerzas de seguridad del Estado, con el apoyo de la mayoría de la sociedad española.

Hoy, a través de El País, nos acabamos de enterar de que (quién sabe si por falta de conocimientos o despiste) el gobierno catalán ha dejado al alcance de cualquiera con conocimientos informáticos los datos de todo el censo de esa Comunidad Autónoma, algo más de cinco millones de ciudadanos mayores de 18 años, con el riesgo que eso conlleva de cara a ciberataques.

Según este diario, el foto Hacker News ha sido el primero en informar que el sistema de cifrado de datos recopilado por las autoridades catalanas es «fácilmente descifrable». Se trata de un sistema P2P que crea una red social donde almacenar archivos sin intermediarios, ese contenido es público y todos tienen acceso a él. Por ello, «es imprescindible encriptarla«, le han indicado a El País fuentes de Ethereum Madrid.

Asimismo, expertos en seguridad ha explicado cómo funciona el mecanismo de acceso a esos ficheros. «Se establece a través de un hash o algoritmo de resumen, que se descifra con un código que funcionaría como una firma digital”, expone Victor Escudero. Este código consistía en una sucesión los últimos cinco dígitos del DNI, la letra del NIF, la fecha de nacimiento y el código postal. De esta manera, los ciudadanos catalanes podían consultar el colegio electoral en el que les tocaba votar. El problema está en que estos datos siguen un patrón sencillo y responden a un número limitado de combinaciones—365 días al año, 23 letras posibles en un NIF…— que un ordenador puede ir probando hasta acertar y descifrar casos particulares, en los que recogería estas cuatro variables para asociarlas a un usuario concreto.

Las mismas fuentes indican que «en unas pocas horas» se podría tener acceso a esta información tan sensible y que los datos «ya han sido comprometidos».