Un fallo de seguridad desvela los datos privados de Felipe VI, Pedro Sánchez y otros cargos
Un error de seguridad de la Consejería de Sanidad de Madrid ha dejado expuesta este miércoles, durante un periodo indeterminado de tiempo, la información personal de unos 100.000 residentes de Madrid, entre ellos el Rey Felipe VI, el presidente del Gobierno; Pedro Sánchez; el expresidente José María Aznar o el líder del PP, Pablo Casado.
De acuerdo con la información adelantada por la cadena autonómica Telemadrid, los datos personales de estos altos cargos y otros miles de ciudadanos estaban al alcance de todos los usuarios que entraran en un enlace aparentemente no encriptado de la web de Sanidad con un programa proxy: un servidor, programa o dispositivo que hace de intermediario en las peticiones de recursos que realiza un cliente a otro servidor.
Lo siguiente era tener el DNI de la persona en cuestión: con todo esto se podían obtener datos como el número de teléfono y domicilio, además de todo lo relacionado con la vacuna contra la covid-19 (dónde había sido administrada, cuándo, con qué dosis, en qué brazo o por quién). “Hablamos de datos alojados en portales sanitarios de la Comunidad de Madrid, como el servidor destinado a gestionar la autocita de vacunación contra la covid, que podían quedar a disposición de cualquier persona”, expone Telemadrid.
La respuesta de la Consejería de Sanidad
Desde la Consejería de Sanidad han explicado (por medio de una comunicación enviada a los afectados) que este miércoles han detectado “una vulnerabilidad de seguridad en la funcionalidad del portal del ciudadano para la obtención del certificado covid” y que “esa brecha ya está bloqueada”. “Ha venido ocasionada por la subida de una actualización que pasó los protocolos de pruebas y que en el proceso de puesta en marcha generó una brecha que ha quedado solventada en horas tras ser detectada por los servicios de calidad”. Y han subrayado: “la incidencia no afectaba a datos clínicos y por supuesto no comprometía la alteración alguna de información en las bases de datos”.
Tras el revuelo en las redes sociales, Madrid ha ofrecido una ampliación a la primera respuesta, y ha insistido en que “es falso que cualquier ciudadano pueda meterse en páginas web de la Consejería de Sanidad de la Comunidad de Madrid para obtener el certificado COVID y que se pueda acceder a información confidencial como datos clínicos del Rey, del presidente del Gobierno o de otros expresidentes”.
Telemadrid, sin embargo, ha defendido que la única 'traba' para acceder a los datos era conseguir el número de documento de cualquier persona en la web, una misión bastante sencilla en estos tiempos. Así, por ejemplo, han logrado acceder al número de teléfono, dosis y brazo en el que fue vacunado el Rey; a los datos de la ministra de Igualdad, Irene Montero e incluso a los del exvicepresidente del Gobierno, Pablo Iglesias. @mundiario
