Tabla de contenidos
Introducción
El ataque consistió en el acceso ilícito a los datos de más de medio millón de contribuyentes, que fueron exfiltrados y posteriormente vendidos en el mercado negro. El magistrado instructor del caso ha propuesto juzgar a los tres presuntos autores del delito, dos ciudadanos españoles y uno marroquí, por un delito continuado de revelación de secretos.
¿Qué es el Punto Neutro Judicial y por qué es importante?
El PNJ es una herramienta creada por el CGPJ en 2009 para facilitar la comunicación electrónica entre los órganos judiciales y otras entidades públicas o privadas que intervienen en los procesos judiciales, como la Agencia Tributaria, la Seguridad Social, el Registro Civil, las Fuerzas y Cuerpos de Seguridad del Estado, las entidades financieras o las compañías aseguradoras. El PNJ permite el envío y la recepción de datos e información relevante para la tramitación de los asuntos judiciales, como certificados, informes, notificaciones o embargos. El PNJ garantiza la seguridad, la confidencialidad, la integridad y la trazabilidad de los datos que se intercambian, así como la interoperabilidad entre los distintos sistemas informáticos.
El PNJ es una pieza clave para el funcionamiento de la Administración de Justicia, ya que agiliza los procedimientos judiciales, reduce los costes y los tiempos de gestión, mejora la calidad de los servicios prestados a los ciudadanos y refuerza las garantías procesales. El PNJ gestiona más de 100 millones de transacciones al año y cuenta con más de 2.000 entidades adheridas.
¿Cómo se produjo el ciberataque y quiénes son los responsables?
Según la investigación judicial, el ciberataque se produjo entre el 12 y el 14 de octubre de 2023, aprovechando una vulnerabilidad en el sistema informático del PNJ. Los atacantes utilizaron las claves de dos funcionarios de Justicia que habían obtenido previamente mediante técnicas de phishing o suplantación de identidad. Con esas claves, accedieron a los datos fiscales de más de 500.000 contribuyentes que habían sido requeridos por los órganos judiciales para diversos procedimientos, como ejecuciones hipotecarias, reclamaciones de impagos o liquidaciones de sociedades. Los datos incluían nombres, apellidos, direcciones, números de identificación fiscal, cuentas bancarias o declaraciones de la renta.
Los atacantes extrajeron esos datos del PNJ y los almacenaron en un servidor externo ubicado en Marruecos. Posteriormente, ofrecieron esos datos en foros clandestinos de internet a cambio de dinero o criptomonedas. Según las estimaciones policiales, los atacantes podrían haber obtenido unos 10 millones de euros por la venta ilegal de los datos.
La Policía Nacional logró identificar y detener a los tres presuntos autores del ciberataque: dos hombres españoles residentes en Madrid y Barcelona, y un hombre marroquí residente en Casablanca. Los tres tienen antecedentes por delitos informáticos y formaban parte de una organización criminal dedicada al robo y la comercialización de datos personales. El magistrado instructor del caso ha propuesto juzgarlos por un delito continuado de revelación de secretos, que está penado con prisión de uno a cuatro años y multa de doce a veinticuatro meses.
¿Qué consecuencias tiene el ciberataque para el CGPJ y para los afectados?
El ciberataque al PNJ ha supuesto un grave perjuicio para el CGPJ, que ha visto comprometida su credibilidad y su reputación como garante de la seguridad jurídica y la protección de datos. El CGPJ ha tenido que adoptar medidas urgentes para reforzar la seguridad informática del PNJ, como el cambio de claves de acceso, la revisión de los protocolos de actuación, la auditoría de los sistemas o la colaboración con las autoridades competentes. El CGPJ también ha anunciado que va a poner en marcha un plan estratégico de transformación digital para modernizar y mejorar los servicios que presta a los ciudadanos y a los profesionales de la Justicia.
El ciberataque también ha tenido consecuencias negativas para los más de 500.000 contribuyentes cuyos datos han sido robados y vendidos. Estas personas han visto vulnerado su derecho fundamental a la protección de datos personales, que está reconocido por la Constitución Española, el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Estas normas establecen que los datos personales solo pueden ser tratados con el consentimiento del interesado o por una causa legalmente prevista, y que deben ser protegidos frente a accesos o usos no autorizados.
Los afectados por el ciberataque tienen derecho a ejercer las acciones legales que les correspondan para defender sus intereses y reclamar una indemnización por los daños y perjuicios que hayan sufrido. Estos daños pueden ser tanto materiales como morales, y pueden derivarse tanto del uso fraudulento de los datos como del mero hecho de su revelación sin consentimiento. Los afectados pueden dirigir sus reclamaciones tanto contra los autores del ciberataque como contra el CGPJ, en su condición de responsable del tratamiento de los datos.
¿Qué podemos aprender del ciberataque al PNJ?
El ciberataque al PNJ nos muestra la importancia de la seguridad informática en el ámbito judicial, así como la necesidad de adaptarse a los nuevos retos y amenazas que plantea la sociedad digital. El PNJ es un ejemplo de cómo las nuevas tecnologías pueden contribuir a mejorar la eficiencia y la calidad de la Justicia, pero también de cómo pueden suponer un riesgo para los derechos y las libertades de las personas si no se garantiza su adecuada protección.
El ciberataque al PNJ nos recuerda que debemos ser conscientes y responsables del uso que hacemos de nuestros datos personales, así como de las medidas que debemos adoptar para protegerlos frente a posibles ataques o vulneraciones. Algunas de estas medidas son: utilizar contraseñas seguras y cambiarlas periódicamente, no facilitar datos personales a través de correos electrónicos o mensajes sospechosos, verificar la identidad y la legitimidad de las entidades o personas que nos solicitan datos personales, revisar periódicamente los movimientos bancarios o fiscales, o ejercer nuestros derechos de acceso, rectificación, supresión, oposición, limitación o portabilidad ante los responsables del tratamiento de nuestros datos.
El ciberataque al PNJ también nos invita a reflexionar sobre el papel que debe desempeñar el Derecho en la regulación y el control de las actividades relacionadas con las nuevas tecnologías, así como sobre la necesidad de contar con profesionales cualificados y especializados en esta materia. El Derecho debe ser capaz de ofrecer respuestas adecuadas y proporcionales a los problemas y conflictos que surgen en el entorno digital, sin renunciar a los principios y valores que lo inspiran, pero sin ignorar tampoco las particular
idades y características de este ámbito. Asimismo, se requiere de una formación continua y específica de los operadores jurídicos que intervienen en los procesos judiciales, así como de una mayor coordinación y colaboración entre las distintas administraciones e instituciones implicadas.
En definitiva, el ciberataque al PNJ ha sido un hecho grave que ha puesto de manifiesto la importancia y la complejidad de la seguridad informática en el ámbito judicial, así como los desafíos y las oportunidades que ofrece la transformación digital de la Justicia.
