Joaquín Morínigo, analista de nuevas tecnologías, advirtió a través de su cuenta de X (@criptoboi) que Paraguay está en un peligro digital. Además, cuestionó que el Ministerio de Tecnologías de la Información y Comunicación (Mitic) en lugar de proteger a la ciudadanía, las culpa.
En un hilo en X mostró cómo un simple comando revela fallas graves en la infraestructura informática de la citada cartera del Estado. “El Mitic dice: ‘Si te hackean, es culpa tuya’. Pero ellos tienen sus propios equipos expuestos a internet sin protección básica. Cualquiera puede escanearlos”, explicó.
VULNERABILIDAD. El comando utilizado por Morínigo fue el “snmpwalk -v2c -c public 179.189.218.252”. En el hilo explica que este comando no necesita permisos especiales.
“Usa una contraseña por defecto: ‘Public’. ¿Y qué devuelve? Todo. Ese equipo es del Mitic. Se llama: MITIC-IGEP_237 y revela direcciones IP públicas y privadas. Cosas que nunca deberían estar visibles. También muestra todas las conexiones activas del router: Internet, red interna, gestión, etc. Con eso, cualquiera puede entender cómo está armada toda la red. Filtra direcciones MAC (como el DNI de cada equipo). Con eso, un atacante puede copiar esa identidad y lanzar ataques más precisos”, explicó.
En el hilo continúa explicando la vulnerabilidad del sistema informático paraguayo. “Te dice hasta hace cuánto tiempo está prendido el equipo. Eso permite saber si fue reiniciado, si está abandonado, y cuándo conviene atacarlo. Muestra la ruta interna de todos los datos: A dónde van, cómo se mueven, qué camino siguen. Literalmente un mapa para entrar. Lo peor es que no hay filtros de IP. No hay claves seguras. Usan versiones viejas y vulnerables. Es como dejar la puerta abierta y el cartel de ‘pase nomás’”, reza parte de la publicación.
ATAQUE. Morínigo afirmó que para desnudar las falencias, decidió atacar un servicio que es utilizado para la administración de las redes que conforman la infraestructura del Mitic.
“En sí mismo no es una vulnerabilidad de un sistema, pero por medio de este comando se pueden acceder a datos, para ir ingresando lentamente hasta acceder finalmente a los sistemas, con estos servicios inclusive se podría modificar el comportamiento del tráfico de los equipos de comunicación de la red del Mitic. Por lo que esto que mostré, según varias personas expertas de los grupos de Paraguay, es un error de principiante, dejar accesible desde internet exponiendo toda esta información”, comentó.
MEDIDAS DE PROTECCIÓN. El pasado 12 de mayo, el Mitic, a través de su cuenta (@Miticpy) publicó una serie de consejos para que la ciudadanía pueda proteger su información de internet. Entre ellas, el uso de contraseñas seguras combinadas con la autenticación de dos pasos (+2FA), no compartir datos personales, evitar transacciones en wifi públicas, no abrir mensajes sospechosos y la actualización de los dispositivos fueron algunas de las recomendaciones dadas.
Al respecto, Morínigo cuestionó que el Gobierno le culpe al ciudadano, ya que son ellos quienes violentaron el derecho humano de todos los ciudadanos.
“Varias de las recomendaciones, por ejemplo, no se aplican a servicios que tiene el Gobierno, por ejemplo el 2FA no lo tienen todos los servicios, por lo que es ridículo que lo recomienden, ya que los sistemas que hacen ni siquiera los soporta”, comentó.
Por medio de este comando se pueden acceder a datos, para ir ingresando hasta acceder finalmente a los sistemas.
El 2FA no lo tienen todos los servicios, por lo que es ridículo que lo recomienden (por el Mitic). Joaquín Morínigo, analista.
