Santo Domingo.- La Junta Central Electoral (JCE) aseguró que no ha registrado un incidente de seguridad que haya comprometido sus sistemas o bases de datos, luego de que circularan informaciones sobre una supuesta exposición de datos vinculados al Registro Civil.
La alarma se originó a partir de una publicación realizada en julio en un foro especializado en ciberseguridad, donde un usuario identificado como “sc4r_0x00” afirmó haber expuesto alrededor de 105,000 registros que atribuyó al Registro Civil dominicano.
Asimismo, la publicación estaba acompañada de capturas de pantalla con muestras de los datos que, según el usuario, formaban parte de la supuesta base de datos.
Posteriormente, en agosto volvió a generarse atención sobre la seguridad de los sistemas de la JCE, lo que llevó al organismo electoral a emitir una nueva aclaración pública el 25 de agosto.
Los datos que fueron atribuidos al Registro Civil
La publicación señalaba que la supuesta base de datos contenía alrededor de 105,000 registros. Entre los campos que el usuario afirmó que estaban disponibles figuraban nombres completos, municipio de inscripción, oficina del registro, libro, año, folio, número de acta de nacimiento y nacionalidad del padre y de la madre.
También sostuvo que los registros correspondían a inscripciones realizadas durante diferentes períodos, desde principios del siglo XX hasta la década de 2020, según una publicación de El Testigo.
Estas afirmaciones corresponden a lo publicado por el usuario y no constituyen una confirmación de que la información haya sido obtenida mediante un acceso no autorizado a los sistemas de la JCE.
Le recomendamos leer
La respuesta de la JCE
Ante la información que circuló sobre una supuesta exposición de datos del Registro Civil, la JCE aseguró que “no ha sufrido ningún incidente de ciberseguridad” y calificó como falsa la afirmación de que habían sido expuestos datos de su Registro Civil.
Posteriormente, el 25 de agosto, el organismo volvió a referirse al tema y señaló que “no ha registrado ningún incidente de seguridad que haya comprometido sus sistemas o bases de datos”. En esa comunicación agregó que no se había producido exposición de información proveniente de sus bases de datos.
La JCE también ha señalado que cuenta con mecanismos y controles de seguridad para proteger las plataformas tecnológicas y la información bajo su responsabilidad.
La institución no ha reconocido un acceso no autorizado a sus plataformas ni una extracción de información desde sus sistemas. De acuerdo con sus pronunciamientos públicos, la JCE mantiene que sus sistemas y bases de datos no han sido comprometidos.
¿Se comprometieron datos personales?
Hasta el momento, no existe una confirmación oficial de que datos personales administrados por la JCE hayan sido expuestos como consecuencia de una vulneración de sus sistemas.
Los datos del Registro Civil están vinculados con información sobre el estado civil y los hechos vitales de las personas. La propia JCE define el registro civil como el conjunto de informaciones relativas a hechos como nacimientos, matrimonios, divorcios y defunciones.
En tanto, la Ley 172-13 establece el marco de protección de los datos personales asentados en archivos, registros públicos, bancos de datos y otros medios técnicos de tratamiento, sean públicos o privados.
La información descrita en la publicación corresponde principalmente a datos asociados con registros del estado civil, entre ellos nombres, referencias de inscripción y datos vinculados con las actas de nacimiento.
Sin embargo, la JCE no ha confirmado que esos registros hayan sido obtenidos de sus bases de datos mediante una intrusión. Por ello, la existencia de una publicación con información atribuida al Registro Civil no permite establecer por sí sola que esos datos hayan sido extraídos de los sistemas del organismo.
Hasta el momento, la JCE no ha informado públicamente sobre una investigación técnica específica para determinar el origen de los datos atribuidos al Registro Civil.
Una eventual investigación tendría que establecer si la información publicada coincide con registros institucionales y, además, determinar cómo fue obtenida, cuándo ocurrió el eventual acceso y si existió transferencia de información fuera de los sistemas autorizados.
Le recomendamos leer
El papel del CSIRT-RD
En República Dominicana funciona el Equipo Nacional de Respuesta a Incidentes Cibernéticos, CSIRT-RD, adscrito al Centro Nacional de Ciberseguridad (CNCS). Entre sus funciones está la respuesta y coordinación frente a incidentes de ciberseguridad. Los documentos técnicos publicados por el CNCS identifican al CSIRT-RD como el equipo nacional de respuesta a incidentes cibernéticos.
La Estrategia Nacional de Ciberseguridad también contempla protocolos de intercambio de información entre los equipos sectoriales de respuesta, las instituciones del Estado y el CSIRT-RD para la gestión de incidentes.
Por otra parte, la publicación de una supuesta base de datos no basta por sí sola para determinar que hubo una exfiltración. Una investigación técnica tendría que contrastar los registros publicados con los originales y analizar evidencias como registros de autenticación y acceso, actividad de las bases de datos, conexiones de red y registros de servidores.
También sería necesario establecer si existió un acceso no autorizado, qué información fue consultada y si posteriormente fue transferida fuera del entorno institucional. Sin esas evidencias, que aparezca en internet información que coincida con registros oficiales no permite determinar por sí sola que haya ocurrido una extracción desde los sistemas de la JCE.
En el caso específico de la JCE, no existe hasta ahora una confirmación oficial de que sus bases de datos hayan sido vulneradas ni una instrucción pública que establezca algún trámite que los ciudadanos deban realizar como consecuencia de una supuesta filtración.
Ante cualquier señal de posible uso indebido de información personal, los ciudadanos deben evitar compartir contraseñas, códigos de verificación o fotografías de documentos con personas que contacten de manera inesperada por mensajes, llamadas o correos electrónicos.
También es recomendable conservar evidencias de comunicaciones sospechosas y reportar cualquier posible uso fraudulento de datos ante las autoridades correspondientes.
Las obligaciones de las instituciones públicas
En materia de ciberseguridad, las instituciones públicas cuentan con obligaciones relacionadas con la notificación y gestión de incidentes, dentro del marco establecido por las normas nacionales de seguridad digital.
El esquema nacional contempla la coordinación entre las instituciones públicas y los equipos de respuesta ante incidentes para permitir la atención y gestión de eventos de ciberseguridad.
Cuando se confirma un incidente, la respuesta técnica debe permitir identificar su alcance, contener sus efectos y preservar las evidencias necesarias para determinar qué ocurrió y qué información pudo haber sido afectada.
Hasta el momento, la JCE sostiene que sus sistemas y bases de datos no han sido comprometidos. Lo documentado públicamente es la existencia de una publicación de un tercero que atribuyó unos 105,000 registros al Registro Civil y los posteriores pronunciamientos de la Junta en los que negó haber sufrido un incidente de ciberseguridad.
La diferencia entre una supuesta exposición de datos y una exfiltración comprobada resulta fundamental: la primera fue alegada públicamente, mientras que la segunda requeriría evidencia técnica que vincule la información con un acceso y una extracción desde los sistemas de la institución.
