El ciberataque al Gobierno de Costa Rica fue un ataque informático de índole extorsivo iniciado la noche (UTC-6:00) del domingo 17 de abril del 2022 en perjuicio de casi una treintena de instituciones públicas, incluido el Ministerio de Hacienda, el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT), el Instituto Meteorológico Nacional (IMN), la Radiográfica Costarricense S. A. (RACSA), la Caja Costarricense de Seguro Social, el Ministerio de Trabajo y Seguridad Social (MTSS), el Fondo de Desarrollo Social y Asignaciones Familiares (FODESAF) y la Junta Administrativa del Servicio Eléctrico Municipal de Cartago (JASEC).
El grupo prorruso Conti Group se adjudicó el primer grupo de ataques y solicitó un rescate de 10 millones de dólares estadounidenses a cambio de no liberar la información sustraída del Ministerio de Hacienda, la cual podía incluir información sensible como las declaraciones de impuestos de los ciudadanos y empresas que operan en Costa Rica.
Como consecuencia, el gobierno debió dar de baja los sistemas informáticos empleados para declarar impuestos, así como los sistemas para el control y manejo de las importaciones y exportaciones causando pérdidas al sector productivo por el orden de los 30 millones de dólares diarios.
Costa Rica requirió asistencia técnica de los Estados Unidos, Israel, España y de la empresa Microsoft, entre otras, para afrontar el ataque cibernético, que consistió en infecciones a sistemas informáticos con ransomware, defacement de páginas web, sustracción de archivos de correos electrónicos y ataques al portal de recursos humanos de la Seguridad Social, así como a su cuenta oficial de Twitter.
El 6 de mayo del 2022 el gobierno de los Estados Unidos a través del FBI ofreció una recompensa de 10 millones de dólares por información que permitiera identificar a una persona o personas en posición de liderazgo dentro de Conti Group, y 5 millones de dólares adicionales por información que permitiera la captura o condena, en cualquier país, de personas que ayudaran o conspiraran en realizar ataques con el ransomware de Conti.
El 8 de mayo de 2022 el nuevo presidente de Costa Rica, Rodrigo Chaves Robles, decretó el estado de emergencia nacional debido a los ciberataques, al considerarlos un acto de terrorismo. Días después, en una conferencia de prensa, afirmó que el país estaba en estado de guerra y que había evidencias de que gente dentro de Costa Rica estaba ayudando a Conti, por lo que los calificó de "traidores" y "filibusteros".
El 31 de mayo del 2022 en horas de la madrugada Hive Ransomware Group realizó un ataque contra la Caja Costarricense de Seguro Social (CCSS), obligando a la institución a apagar todos sus sistemas críticos, incluido el Expediente Digital Único en Salud (EDUS) y el Sistema Centralizado de Recaudación (SICERE). El primero almacena la información médica sensible de los pacientes que atiende la Seguridad Social, mientras que el segundo es el utilizado para el cobro de las cuotas de aseguramiento de la población.
Antecedentes
Conti Group Conti Group es una organización criminal dedicada a realizar ataques de ransomware, sustrayendo archivos y documentos de servidores para luego exigir un rescate. Su modus operandi consiste en infectar los equipos con el malware Conti, el cual opera con hasta 32 subprocesos lógicos individuales, lo que lo hace mucho más rápido que la mayoría de los virus de su tipo.
El miembro más antiguo es conocido por los alias Stern o Demon y actúa como director ejecutivo. Otro miembro conocido como Mango actúa como gerente general y se comunica con frecuencia con Stern. Mango le dijo a Stern en un mensaje que había 62 personas en el equipo principal. Los números de personas involucradas fluctúan, alcanzando hasta 100. Debido a la constante rotación de miembros el grupo recluta nuevos integrantes mediante sitios de trabajo legítimos y de piratas informáticos.
Los programadores ordinarios ganan entre $1500 a $2000 por mes y los miembros que negocian pagos de rescate pueden tomar una parte de las ganancias. En abril de 2021 un miembro de Conti Group afirmó tener un periodista anónimo en sus filas que tomó una parte del 5 % de los pagos de ransomware al presionar a las víctimas para que pagaran.
Durante la invasión rusa de Ucrania en 2022 Conti Group anunció su apoyo a Rusia y amenazó con implementar "medidas de represalia" si se lanzaban ciberataques contra el país. Como resultado, una persona anónima filtró aproximadamente 60 000 mensajes de registros de chat internos junto con el código fuente y otros archivos utilizados por el grupo.
Las opiniones expresadas en las filtraciones incluyen el apoyo a Vladímir Putin, Vladimir Zhirinovsky y el antisemitismo (incluso hacia Volodímir Zelenski). Un miembro conocido como Patrick repitió varias afirmaciones falsas hechas por Putin sobre Ucrania. Patrick vive en Australia y puede ser ciudadano ruso. También se encontraron mensajes que contenían homofobia, misoginia y referencias al abuso infantil.
Conti ha sido responsable de cientos de incidentes de ransomware desde 2020. El FBI estima que desde enero de 2022 hubo más de 1000 víctimas de ataques asociados con el ransomware Conti con pagos de las víctimas superiores a , lo que convierte a la cepa Conti en la variedad de ransomware más dañina jamás documentada.
Días después del ofrecimiento de recompensas por parte del FBI, Conti anunció que iniciaría un proceso de cierre de operaciones. Algunos de los miembros de Conti migraron a organizaciones más pequeñas como Hive, HelloKitty, AvosLocker, BlackCat y BlackByteo; otros fundaron algunas propias.
Hive Ransomware Group Hive Ransomware Group es una organización criminal conocida por su ensañamiento contra las organizaciones o instituciones de salud pública, en particular hospitales y clínicas. Apareció en junio de 2021 y de acuerdo con el Buró Federal de Investigaciones (FBI) funciona como un ransomware basado en afiliados, emplea una amplia variedad de tácticas, técnicas y procedimientos (TTP), lo que crea desafíos importantes para la defensa y la mitigación. Hive utiliza múltiples mecanismos para comprometer las redes comerciales, incluidos los correos electrónicos de phishing con archivos adjuntos maliciosos para obtener acceso y el Protocolo de Escritorio Remoto (RDP en Inglés) para moverse una vez en la red.
De acuerdo con un reporte de Cisco los criminales de Hive han evidenciado una seguridad operativa baja al revelar información sobre su proceso de encriptación y otros detalles operativos. El reporte también indica que Hive emplea todos y cada uno de los medios necesarios para convencer a sus víctimas de que paguen, incluida la oferta de sobornos a los negociadores de las víctimas una vez que se realiza el pago del rescate.
En agosto de 2021 ZDNet publicó que Hive había atacado al menos 28 organizaciones de salud en los Estados Unidos, afectando clínicas y hospitales a lo largo de Ohio y Virginia del Oeste. Entre las víctimas se encontraba el Memorial Healthcare System, quien se vio forzado a que sus hospitales usaran expedientes de papel, cancelar procedimientos y derivar pacientes a otros centros no vulnerados. La organización terminó pagando el rescate para recuperar el acceso a sus sistemas.
En diciembre de 2021 Hive reveló haber atacado 355 compañías a lo largo de seis meses, la gran mayoría en los Estados Unidos. De esas al menos 104 terminaron pagando el rescate por recuperar sus sistemas.
En febrero de 2022 cuatro investigadores de la Universidad de Kookmin en Corea del Sur descubrieron una vulnerabilidad en el algoritmo de cifrado del ransomware de Hive que permitía obtener la clave maestra y recuperar la información secuestrada.
El sitio especializado TechTarget afirmó que Hive Ransomware Group se comunica en ruso, pero que no hay información sobre la localización de sus operaciones.
Bleeping Computer LLC reportó que algunos de los hackers de Conti migraron a organizaciones como Hive, sin embargo el grupo ha rechazado tener vinculación con Conti pese a que una vez iniciado el proceso de cierre de operaciones y sus hackers llegaron a ese otro grupo criminal, la organización empezó la táctica de publicar los datos filtrados en la red profunda, tal y como lo hacía Conti.
La experta Yelisey Boguslavskiy de AdvIntel identificó y confirmó con un alto nivel de certeza que Conti estuvo trabajando con Hive durante más de medio año, al menos desde noviembre de 2021. Según su información, Hive utilizaba activamente los accesos de ataque iniciales proporcionados por Conti.
A diferencia de Conti Group, Hive no está asociado con apoyo directo a la invasión rusa de Ucrania, a pesar de que el pago de los rescates a Hive probablemente sea recibido por las mismas personas dentro de Conti que reclamaron la alineación colectiva del grupo con el gobierno ruso.
También en mayo de 2022 Hive atacó a la Comunidad de Navarra, España, forzando a un centenar de instituciones a volver a la era del papel mientras los sistemas eran recuperados. Ese mismo mes Hive también atacó al Banco Central de Zambia, sin embargo, la entidad rechazó pagar el rescate afirmando que tenía los medios para recuperar sus sistemas, aunque ingresó al chat de los extorsionadores y suministró el enlace a una "fotopolla" con el mensaje:
Ataque
Ataque de Conti Group Los servidores del Ministerio de Hacienda de Costa Rica fueron los primeros en ser vulnerados durante la noche del domingo 17 de abril. La cuenta de Twitter BetterCyber (ahora VenariX) fue la primera en replicar, al día siguiente, la publicación del foro de Conti Group que daba cuenta del hackeo a la institución gubernamental costarricense indicando que había sido sustraído 1 terabyte de información de la plataforma ATV, empleada por el gobierno para que la ciudadanía y las empresas presenten sus declaraciones de impuestos. A su vez, la publicación indicaba que la data empezaría a ser publicada el 23 de abril.
Antes de las 10 de la mañana del lunes santo, el Ministerio de Hacienda informó mediante un comunicado de prensa y a través de sus redes sociales que "debido a problemas técnicos", la plataforma de Administración Tributaria Virtual (ATV) y el Sistema Informático Aduanero (TICA) habían sido deshabilitados, y que se prorrogaría el plazo para la presentación y pago de impuestos que vencían ese día, hasta el siguiente día hábil después de que se restablecieran los sistemas. La institución no reconoció inmediatamente haber sido hackeada e inicialmente se negó a responder preguntas de la prensa sobre la afirmación de Conti Group.
Al día siguiente, Conti Group publicó una nueva entrada en su foro anunciando que pedían 10 millones de dólares como rescate de la información sustraída. El Ministerio de Hacienda confirmó que la información publicada hasta el momento correspondía a información del Servicio Nacional de Aduanas empleada para insumos y soporte.
Horas después del comunicado de Hacienda el micrositio del Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT) sufrió un defacement en el cual se dejó el mensaje: "Te saludamos desde Conti, búscanos en tu red".
Jorge Mora Flores, director de Gobernanza Digital de Costa Rica indicó que a raíz del ataque, y porque el servidor afectado albergaba otras páginas se tomó la decisión de apagarlo mientras se realizaban las verificaciones correspondientes para determinar hasta qué punto se logró vulnerar la seguridad. Posteriormente, una actualización en el foro de Conti Group indicaba que los ataques contra los ministerios de Costa Rica continuarían "hasta que el gobierno nos pague".