Un ciberataque expone datos médicos y bancarios de 450.000 moldavos

Moldavia ha sufrido un ciberataque masivo contra sus sistemas informáticos públicos que ha permitido acceder sin autorización a los datos personales de aproximadamente 450.000 ciudadanos, cerca del 19 % de su población residente. Entre la información potencialmente comprometida figuran datos sanitarios, números de cuentas bancarias, documentos de identidad y registros familiares. La presidenta del país, Maia Sandu, confirmó el alcance del incidente el viernes 6 de noviembre de 2026, tras una reunión extraordinaria del Consejo Nacional de Seguridad.

El ataque comenzó el 19 de octubre y aprovechó graves deficiencias en los mecanismos de identificación y autorización de los servicios digitales del Estado. Los intrusos consiguieron consultar y extraer información de al menos diez instituciones públicas a través de una infraestructura compartida. Las autoridades aseguran que las cuentas bancarias no han sido comprometidas, aunque advierten de que los datos obtenidos podrían utilizarse para cometer estafas, suplantaciones de identidad y otras formas de fraude.

La magnitud del incidente ha obligado al Gobierno moldavo a revisar sus sistemas de seguridad. Las primeras investigaciones manejaban una cifra de unos 750.000 identificadores personales asociados a posibles extracciones de información, pero las verificaciones posteriores redujeron la estimación a alrededor de 450.000 personas afectadas. La diferencia no resta gravedad al episodio: equivale aproximadamente a uno de cada cinco residentes de un país con unos 2,36 millones de habitantes.

Qué datos personales han quedado expuestos en Moldavia

El ataque no se limitó a nombres y números de identificación. Los sistemas afectados contenían información procedente de distintos registros administrativos que, al combinarse, podían ofrecer un perfil detallado de la vida de los ciudadanos.

Entre las categorías de datos potencialmente expuestas se encuentran nombres completos, fechas y lugares de nacimiento, fotografías, números de identificación personal y relaciones familiares. También había información relativa a cobertura sanitaria, médicos de familia, pensiones, prestaciones sociales y situaciones de discapacidad.

En el ámbito económico, los registros incluían números internacionales de cuentas bancarias (IBAN), obligaciones tributarias, deudas fiscales e historiales de pagos efectuados mediante el servicio electrónico gubernamental MPay. También pudieron verse afectados datos de permisos de conducir, vehículos y empresas vinculadas a determinados ciudadanos.

Las autoridades han precisado que no todas las personas afectadas tenían expuestas las mismas categorías de información. Tampoco se ha confirmado un acceso generalizado a historiales clínicos completos. En materia sanitaria, los datos identificados se refieren principalmente a información administrativa, aseguramiento y protección social.

Esta distinción importa. Conocer el nombre de una persona, su médico de familia, sus familiares y determinados datos económicos puede facilitar engaños muy convincentes, incluso aunque los delincuentes no dispongan de sus contraseñas.

Cómo consiguieron acceder a los registros de diez instituciones

La investigación ha identificado un problema estructural en la arquitectura de los servicios digitales moldavos. Según explicó Maia Sandu, algunos sistemas comprobaban que la aplicación que solicitaba información estaba autorizada, pero no verificaban adecuadamente la identidad del usuario ni su derecho a consultar cada registro.

Una aplicación con permisos configurados incorrectamente permitió acceder a bases de datos pertenecientes a, como mínimo, diez organismos públicos.

Los atacantes disponían de números de identificación personal moldavos, conocidos como IDNP, que utilizaron para realizar consultas automatizadas. A partir de la información obtenida, pudieron ampliar sus búsquedas y acceder a expedientes más completos.

La infraestructura concentraba el intercambio de datos entre numerosas instituciones en un mismo punto de acceso. El problema se agravó por la ausencia de mecanismos eficaces para limitar las consultas masivas y detectar extracciones anómalas de información.

Un millón de consultas en un solo día

La operación comenzó durante la noche del 19 de octubre, mediante peticiones realizadas desde más de 638 direcciones IP utilizadas para dificultar la identificación de su origen.

El momento más intenso llegó el 20 de octubre, cuando los sistemas gubernamentales recibieron aproximadamente un millón de solicitudes automatizadas, unas 30 veces más que la media habitual.

Ese mismo día se extrajeron más de 260.000 registros relacionados con vínculos familiares.

La Agencia de Gobierno Electrónico comenzó a limitar determinadas extracciones el 21 de octubre. Las autoridades iniciaron el bloqueo de los atacantes el día 23 y aseguran que, desde el 24, los intentos posteriores de acceso no autorizado fueron rechazados.

El Gobierno también ha reconocido deficiencias en su reacción inicial. La detección y la comunicación del incidente no fueron suficientemente rápidas y faltó coordinación entre las instituciones responsables.

Las cuentas bancarias no fueron comprometidas

Una de las principales preocupaciones de los ciudadanos afectados es la posible utilización de su información financiera.

La presidenta moldava ha asegurado que el ataque no comprometió la integridad de los sistemas bancarios. Aunque se extrajeron determinados números IBAN, disponer de esa información no permite por sí solo entrar en una cuenta, retirar dinero o autorizar transferencias.

El Banco Nacional de Moldavia también ha advertido contra las informaciones que confunden la exposición de datos financieros con el acceso efectivo al dinero de los clientes.

Las entidades bancarias mantienen sus propios mecanismos de autenticación y autorización, separados de las plataformas administrativas atacadas.

El peligro principal se encuentra en otro terreno: la ingeniería social, una técnica mediante la cual los delincuentes utilizan información real para ganarse la confianza de sus víctimas.

Un estafador que conozca el nombre, los datos familiares y el IBAN de una persona podría hacerse pasar por su banco o por una institución pública. Con esa apariencia de legitimidad, trataría de conseguir contraseñas, códigos de verificación o autorizaciones para efectuar operaciones fraudulentas.

Las autoridades han anunciado que las personas afectadas recibirán una notificación individual por correo electrónico a través de la Agencia de Gobierno Electrónico. Los bancos también serán informados para reforzar las comprobaciones sobre posibles operaciones sospechosas.

Mientras tanto, se recomienda no facilitar contraseñas, códigos PIN ni datos de tarjetas mediante llamadas, SMS o mensajes electrónicos. Cualquier solicitud sospechosa debe comprobarse contactando directamente con la entidad correspondiente mediante sus canales oficiales, sin utilizar teléfonos o enlaces proporcionados por un supuesto representante.

Moldavia sospecha de un ataque estatal, pero no tiene pruebas concluyentes

La identidad de los responsables continúa sin esclarecerse. El Gobierno moldavo considera que la escala, coordinación y complejidad del ataque presentan características compatibles con una operación patrocinada por un Estado extranjero.

Sin embargo, no existen pruebas públicas concluyentes que permitan atribuirlo a un país concreto.

Maia Sandu ha señalado que los responsables utilizaron direcciones IP de distintos territorios y herramientas para ocultar su procedencia. Por ese motivo, identificar el país desde el que se realizó una conexión no equivale necesariamente a identificar al autor del ataque.

El incidente se produce en un contexto especialmente delicado para Moldavia, situada entre Rumanía y Ucrania y sometida durante los últimos años a tensiones políticas y amenazas contra su seguridad digital.

Desde la invasión rusa de Ucrania en 2022, el país ha denunciado reiteradamente campañas de desestabilización e injerencias externas. No obstante, las sospechas sobre operaciones anteriores no permiten adjudicar automáticamente este ciberataque a Rusia ni a ningún otro Gobierno.

La Fiscalía de Chisináu ha abierto una investigación penal relacionada con el acceso a información privada y la divulgación de datos vinculados a una investigación. El procedimiento deberá determinar las responsabilidades y las circunstancias concretas del incidente.

Moldavia prepara una reforma de su seguridad digital

El Consejo Nacional de Seguridad ha acordado una serie de medidas para corregir las vulnerabilidades informáticas que facilitaron el acceso a los registros públicos.

La Agencia de Gobierno Electrónico ha subsanado problemas detectados en el sistema de autenticación MPass, reforzado los controles sobre los permisos de acceso y establecido restricciones adicionales para evitar consultas masivas de datos.

El Gobierno también ha decidido revisar la arquitectura de sus plataformas digitales, modernizar los sistemas antiguos y mejorar la coordinación entre los organismos encargados de su mantenimiento y protección.

Un grupo de trabajo dirigido por el primer ministro, Vasile Tofan, deberá presentar propuestas durante el próximo mes. El Consejo Nacional de Seguridad evaluará los avances dentro de tres meses.

Entre las actuaciones previstas figuran mecanismos de vigilancia continua, detección de anomalías, auditorías periódicas y controles más estrictos sobre los proveedores tecnológicos de la Administración.

También se prepararán actividades educativas para enseñar a estudiantes de secundaria a proteger sus datos personales, utilizar la autenticación en dos pasos y reconocer posibles intentos de fraude.

La dimensión del incidente pone de manifiesto un problema que va más allá de Moldavia. La digitalización de los servicios públicos permite simplificar trámites y conectar administraciones, pero también concentra cantidades enormes de información personal sensible en infraestructuras cuya seguridad resulta esencial.

El mayor riesgo comienza después del robo de información

La investigación todavía debe determinar quién organizó el ataque y cuál fue el destino de los datos extraídos. Las autoridades no han anunciado una sustracción de dinero de las cuentas bancarias afectadas ni han identificado públicamente a los responsables.

Sin embargo, la exposición de información personal puede seguir teniendo consecuencias mucho después de que se haya bloqueado el acceso a los sistemas. Los datos de identidad, las relaciones familiares y determinados registros administrativos no son fáciles de cambiar, a diferencia de una contraseña.

Para los aproximadamente 450.000 ciudadanos afectados, la prioridad inmediata será recibir información precisa sobre sus datos comprometidos y disponer de mecanismos eficaces frente a posibles fraudes.

Para el Estado moldavo, el desafío es mayor: demostrar que las instituciones capaces de reunir información tan sensible también pueden protegerla. El ataque ya ha terminado, según las autoridades. La tarea de recuperar la confianza en sus servicios digitales apenas ha comenzado.