La información personal de aproximadamente 40 millones de votantes del Reino Unido estuvo expuesta a piratas informáticos durante más de un año después de que la Comisión Electoral fuera víctima de un «ataque cibernético complejo».
La Comisión Electoral, el organismo de control responsable de supervisar las elecciones en el Reino Unido, dijo en un comunicado el miércoles que identificó por primera vez actividad sospechosa en su red en octubre de 2022, pero luego confirmó que «actores hostiles» no identificados habían accedido por primera vez a sus sistemas durante un año. a principios de agosto de 2021.
Cuando TechCrunch le preguntó por qué la organización acababa de notificar a los afectados, la portavoz de la Comisión Electoral, Andreea Ghita, dijo que había «varios pasos» que la Comisión debía tomar antes de poder hacer público el incidente.
“Necesitábamos eliminar a los actores y su acceso a nuestro sistema. Tuvimos que evaluar el alcance del incidente para comprender quién podría verse afectado y establecer un enlace con el Centro Nacional de Seguridad Cibernética (NCSC) y la Oficina del Comisionado de Información (ICO). También necesitábamos implementar medidas de seguridad adicionales para evitar que se produjeran ataques similares en el futuro”, dijo el portavoz.
Estas medidas incluyen el fortalecimiento de sus requisitos de inicio de sesión en la red, la mejora de sus capacidades de monitoreo de amenazas y la actualización de sus políticas de firewall, según las preguntas frecuentes publicadas por la Comisión Electoral.
El portavoz de la Comisión Electoral le dijo a TechCrunch que el incidente, en el que los piratas informáticos accedieron al correo electrónico, los sistemas de control y las copias de los registros electorales de la Comisión, puede haber afectado a hasta 40 millones de votantes del Reino Unido. Esto incluye a cualquiera que se haya registrado para votar entre 2014 y 2022, así como los nombres de las personas registradas como votantes en el extranjero.
‘Sin impacto’ en la seguridad electoral del Reino Unido
Si bien la Comisión Electoral no ha podido determinar si los atacantes extrajeron los datos almacenados en sus sistemas, dice que los datos potencialmente afectados incluyen los nombres completos, las direcciones de correo electrónico, las direcciones de las casas, los números de teléfono, las imágenes personales enviadas a la Comisión y los datos personales de los ciudadanos del Reino Unido. cualquier detalle proporcionado por correo electrónico o formularios de contacto en línea.
El organismo de control señala que, si bien gran parte de esta información ya es de dominio público, podría combinarse con otros datos para inferir patrones de comportamiento o para identificar y perfilar a las personas.
La Comisión Electoral agregó que no ha habido “ningún impacto” en la seguridad de las elecciones del Reino Unido.
“El proceso democrático del Reino Unido está significativamente disperso y sus aspectos clave siguen estando basados en la documentación y el conteo en papel”, afirma la Comisión. “Esto significa que sería muy difícil utilizar un ciberataque para influir en el proceso”.
Aún no se sabe quién estuvo detrás del ataque. La Comisión Electoral dijo que «no sabemos quién es el responsable del ataque», y el NCSC se negó a responder cuando TechCrunch le preguntó.
“Brindamos a la Comisión Electoral asesoramiento experto y apoyo para ayudar a su recuperación después de que se identificó por primera vez un incidente cibernético”, dijo el portavoz de NCSC, quien se negó a proporcionar su nombre. “Defender los procesos democráticos del Reino Unido es una prioridad para el NCSC y brindamos una variedad de pautas para ayudar a fortalecer la resiliencia cibernética de nuestros sistemas electorales”.
Cuando se le contactó para hacer comentarios, el portavoz de ICO, James Huyton, confirmó que la Comisión Electoral notificó a la agencia de protección de datos sobre la violación, pero se negó a decir por qué hubo un retraso de nueve meses en la divulgación pública.
¿Trabajas en la Comisión Electoral? ¿Tienes más información sobre el ciberataque? Puede comunicarse con Carly Page de forma segura en Signal al +441536 853968, o por correo electrónico. También puede comunicarse con TechCrunch a través de SecureDrop.