La Comisión Nacional de los Mercados y la Competencia (CNMC) sufrió un grave "ciberataque masivo" en el que se filtraron 2.000 millones de registros de datos sensibles que corresponden con titulares de telefonía móvil. Lo ha confirmado el Consejo General del Poder Judicial a través de una nota de prensa publicada en su página web.

La Audiencia Nacional investiga un ciberataque masivo contra la CNMC que supuso la exfiltración de datos de titulares de telefonía móvil

El organismo informa de que se produjo un acceso ilícito que dejó 240 GB de datos de abonados de líneas telefónicas en manos de los atacantes. Hay que recordar que la CNMC custodia los datos de los usuarios españoles de telefonía, por lo que hablamos potencialmente de datos personales e incluso perfiles completos de titulares. Por el momento, ni el CGPJ ni la CNMC han informado sobre la profundidad de los datos a la que han accedido los atacantes.

La Audiencia Nacional investigará el caso

Donde realmente profundiza el comunicado del CGPJ es en qué organismo investigará la grave filtración. En un principio, el caso lo había asumido el Juzgado de Instrucción 27 de Madrid. Sin embargo, este se inhibió al considerar que los hechos "se tipifican como delito de ataques informáticos y contra la seguridad nacional". Pero ahí no acaba la historia.

El Ministerio Fiscal estaba en contra de que el caso recayera en la Audiencia Nacional, al considerar que la CNMC no es una "institución del Estado" según los efectos del artículo 65 1º a de la Ley Orgánica del Poder Judicial. La juez María Tardón, que es quien llevará el caso, analizó la doctrina del Tribunal Supremo y ha concluido que la CNMC sí es un alto organismo del Estado:

"Nos encontramos ante un ciberataque masivo contra una entidad que, por su incardinación en la estructura del Estado y su esencial función en los términos indicados, supone una grave e indudable afectación institucional, en un ámbito tan particularmente sensible y relevante para su normal funcionamiento como el del control del correcto funcionamiento, la transparencia y la existencia de una competencia efectiva en todos los mercados y sectores productivos, en beneficio de los consumidores y usuarios".

Por el momento, no se ha hecho público el origen del ciberataque ni la autoría, y esperamos que la CNMC y la investigación ofrezcan más datos para entender de verdad la gravedad de la filtración. Como el supuesto hackeo a la Agencia Tributaria, que al final no fue, podríamos estar ante la madre de todas las filtraciones en lo que respecta a permitir a atacantes crear una sólida base de datos de líneas y titulares.

¿Qué datos se han filtrado?

Según la información facilitada por el CGPJ en su nota, los datos filtrados consisten en 2.000 millones de registros que ocupan un total de 240 GB, conteniendo la información personal de los titulares de líneas telefónicas móviles en España.

La cifra facilitada por el CGPJ es muy superior al número total de líneas móviles activas en España, que ascendía a unos 59,6 millones a finales de 2023.

La CNMC tiene acceso directo a la base de datos del nodo central de la Asociación de Operadores para la Portabilidad Móvil, donde las operadoras de telecomunicaciones con numeración asignada intercambian las líneas de los usuarios que deciden cambiar de compañía. Este acceso le permite ofrecer un servicio de consulta donde los visitantes pueden introducir un número de móvil para saber a qué operador pertenece, sin embargo, esta web no facilita abiertamente datos personales sobre su titular.

Otra fuente de datos de abonados custodiada por la CNMC es el Sistema de Gestión de Datos de Abonado (SGDA), un archivo centralizado que las operadoras mantienen actualizado con los números asignados a sus clientes y que es utilizado por las las guías telefónicas, servicios de consulta telefónica 118XX sobre números de abonado, el 112 y la interceptación legal.

 Fuentes:

https://www.genbeta.com/seguridad/cnmc-ha-sufrido-grave-hackeo-que-ha-filtrado-240-gb-datos-lineas-telefonicas-2-000-millones-registros

https://bandaancha.eu/articulos/cnmc-sufre-ciberataque-masivo-contra-11175