UN INFORMÁTICO SUSTRAJO LAS CLAVES INTERNAS

Naturgy sufre el chantaje de un 'hacker' que robó información ultraconfidencial

La sustracción de la información fue tan relevante que Francisco Reynés elevó el problema al consejo de administración y ha puesto en marcha una nueva política de seguridad interna

Foto: Imagen: Enrique Villarino.
Imagen: Enrique Villarino.

Naturgy se ha visto obligada a implementar un plan especial para reforzar la ciberseguridad tras sufrir meses atrás un chantaje de unos piratas informáticos que entraron en ordenadores claves de la cúpula directiva. El ataque fue de tal calibre que Francisco Reynés, presidente ejecutivo del grupo energético, elevó el problema al consejo de administración, que decidió encargar a cuatro empresas especializadas una nueva estrategia para hacer frente a estos riesgos de seguridad.

Según han confirmado fuentes de Naturgy, el ciberataque selectivo, dirigido exclusivamente a una serie de ordenadores de altos directivos, se produjo en diciembre de 2018. Un técnico robó ciertas contraseñas particulares de ejecutivos de la multinacional y amenazó a la compañía con difundir por la red la información a la que había tenido acceso. Entre ellas, según otras fuentes, correos electrónicos personales, documentos internos altamente confidenciales, operaciones de fusiones y adquisiciones y potenciales objetivos estratégicos corporativos. Este servicio estaba subcontratado y externalizado con Capgemini.

Reynés convocó inmediatamente al consejo de administración y les transmitió la sensibilidad de la información hurtada, así como la petición de dinero que el ciberdelicuente exigía para no hacer públicos los archivos sustraídos ilegalmente. Naturgy tomó dos medidas urgentes. La primera fue poner el caso en conocimiento del Grupo de Delitos Telemáticos de la Guardia Civil, dependiente de la Unidad Central Operativa (UCO). A su vez, la compañía puso una denuncia en la comisaria de policía de Tres Cantos (Madrid).

Mientras las fuerzas del orden iniciaban la investigación, Naturgy creó un comité de crisis para analizar los riesgos de la situación. Un comité liderado por Antonio Peris, responsable de seguridad de la multinacional catalana, que contrató los servicios de Deloitte para hacer lo más rápido posible un informe 'forensic' del ciberataque. El objetivo era saber por dónde había entrado el 'hacker' y hasta dónde había llegado. El estudio lo lideró Alfonso Mur, socio director de Gobernance, Risk y Compliance, el máximo responsable de esta especialidad en Deloitte.

Al tiempo que se perimetraba el daño sufrido y se ponían los primeros parches para subsanar la falla, Naturgy inició a principios de este año unas conversaciones con el informático para alcanzar un acuerdo amistoso y privado. Un pacto que consistía en que se le contrataría por una cantidad significativa de dinero a cambio de que informase de las deficiencias de seguridad de la compañía que le habían permitido tener acceso a determinados ordenadores y de que fuera él mismo el que propusiese las soluciones para evitar nuevos ataques.

El presidente accedió a pagar el chantaje solicitado dada la relevancia de la información que, según distintas fuentes, ascendió a cientos de miles de euros. La cantidad es absolutamente confidencial y, según otras fuentes, se cursó dentro de un presupuesto general aprobado por Naturgy para implementar una nueva estrategia contra la ciberseguridad. La compañía, que al llegar al acuerdo retiró la denuncia en la comisaria de Policía, ha eludido hacer el pago a nombre del 'hacker' o de alguna de sus sociedades. Se hizo, según otras fuentes, a través de Capgemini, que ya solucionó internamente la situación. La firma, no obstante, desmiente que el abono lo hiciera ella.

Fuentes oficiales de Naturgy han admitido que sufrió un ataque cibernético en 2018 generado en un proveedor -Capgemini- y que inicialmente afectó a determinados ordenadores. En este sentido, añaden que rápidamente se neutralizó completamente el ataque y finalmente no se produjo afección ninguna a los ordenadores o documentación. El grupo agrega que "no hubo consecuencia de ningún tipo para la compañía o para los clientes" y que "el conflicto se solucionó extrajudicialmente con el proveedor de servicios y, consecuentemente, se retiró la demanda presentada inicialmente".

Plan de ahorro y nuevo ataque

Naturgy ha contado hasta la fecha con cuatro asesores en cuestiones de seguridad. Se trata de Telefónica, KPMG, Deloitte e IBM, compañía con la que acaba de llegar a un acuerdo para externalizar los principales servicios calificados como ‘non core’, o no estratégicos, o que no generen ingresos para el grupo. La seguridad de las redes de la empresa también estaba subcontratada cuando se produjo el ciberataque, un daño que Naturgy ya sufrió cuando se propagó el virus ‘Wannacry’ en junio de 2017.

En los meses posteriores al verano de ese año, Rosa Sanz, encargada de recursos de la multinacional, preparó un plan estratégico para modernizar los sistemas informáticos. Un programa de actuaciones que ascendía a cerca de 50 millones de euros y que se desestimó. Cuando Reynés llegó a la presidencia de Naturgy en febrero de 2018, todos los proyectos se pusieron en ‘stand by’ hasta que el nuevo equipo gestor analizase la cuenta de resultados, en especial, los costes ordinarios. El nuevo presidente aprobó un plan estratégico en junio de 2018 que incluía un ahorro de costes o eficiencias de 500 millones de euros y que, según fuentes internas, destinaba dos millones al año a protección de los sistemas hasta 2022. Tras el incidente, se ha decidido acelerar el proyecto e invertir 10 millones en solo dos años.

La compañía ha sufrido más recientemente, hace apenas un mes, otro nuevo ciberataque. En esta ocasión ha afectado a los centros de cómputo, sistemas operativos informáticos y servidores de datos de su filial en México debido a la vulnerabilidad de su 'software'. Un 'ransomware' que ha provocado que todos los archivos de los usuarios estén cifrados con una clave que los 'hackers' solo van a canjear a cambio de un rescate.

Empresas

El redactor recomienda

Escribe un comentario... Respondiendo al comentario #1
3 comentarios
Por FechaMejor Valorados
Mostrar más comentarios