Investigación por rescate de ransomware en Cangas
Ataque de ransomware y pago de rescate en Cangas
Durante la madrugada del 18 de mayo de 2023, el ayuntamiento de Cangas de Morrazo sufrió un ataque de ransomware que paralizó gran parte de sus operaciones administrativas. El rescate ransomware Cangas se convirtió en tema de investigación tras el desembolso de fondos públicos para recuperar los datos secuestrados. Los atacantes emplearon LockBit 3.0, uno de los malwares más destructivos del momento, amenazando con vender la información en la dark web si no se pagaba el dinero solicitado en bitcoin.
El cifrado afectó a más de la mitad de los equipos informáticos del consistorio, bloqueando departamentos críticos como el de contabilidad. Esta situación imposibilitó el procesamiento de nóminas y pagos a proveedores durante varios días, generando un caos administrativo sin precedentes. El rescate ransomware en Cangas se ejecutó tras negociaciones fallidas y búsqueda de soluciones técnicas.
Cómo se produjo la infección informática
La vulnerabilidad explotada por los ciberdelincuentes fue un correo de phishing abierto por un funcionario municipal. El mensaje aparentaba ser legítimo, pero contenía un archivo malicioso que permitió a los atacantes acceder a la red interna del ayuntamiento. Una vez dentro, desplegaron el malware LockBit 3.0, que comenzó a cifrar archivos de manera sigilosa durante horas.
Cuando los empleados llegaron a primera hora de la mañana del 19 de mayo, encontraron sus pantallas bloqueadas con mensajes en inglés pidiendo el rescate. La situación se tornó crítica rápidamente, ya que los sistemas administrativos básicos quedaron inoperativos. El ciberataque municipal afectó significativamente a la capacidad operativa de la administración local.
Gestión de contratos y contratación de servicios
Tras el incidente, el Concello decidió contratar servicios especializados para evaluar el daño y recuperar los datos. Se contrató a la empresa EVELB Técnicas y Sistemas S.L. para realizar un análisis forense de los sistemas dañados. En esta primera intervención se pagaron 5.279 euros, pero los resultados fueron infructuosos.
Semanas después, decidieron volver a contratar a la misma empresa, esta vez con la misión de recuperar directamente los datos cifrados. En esta segunda fase, la empresa negoció con los atacantes y finalmente pagó el rescate en bitcoin. El importe total de este segundo contrato ascendió a 197.847,17 euros, completando una cifra total de aproximadamente 200.000 euros.
Investigación judicial y acusaciones
A finales de 2024, la Fiscalía de Pontevedra remitió el caso al juzgado revelando indicios de prevaricación, malversación de fondos, daños informáticos y coacciones. Lo que está bajo escrutinio no es únicamente el pago del rescate, sino la manera en que se gestionaron los contratos con la empresa informática, puesto que se realizaron sin convocatoria de concurso público.
Un aspecto particularmente controvertido es que ambos contratos fueron adjudicados a la misma compañía que había fracasado en su primer intento. Esta decisión plantea interrogantes sobre la transparencia y el cumplimiento de procedimientos administrativos correctos. Tanto la administración como EVELB están siendo objeto de investigación.
Imputación del concejal de Urbanismo
La jueza de la Plaza 2 del Tribunal de Instancia de Cangas citó a Antón Iglesias, concejal actual de Urbanismo, Vivienda y Medio Ambiente, en calidad de investigado. Lo sorprendente es que Iglesias no ostentaba el cargo de concejal en el momento del ataque, ni fue él quien firmó el contrato de urgencia para el pago del rescate.
Fue Araceli Gestido, quien acababa de asumir la alcaldía en aquel momento, quien autorizó el pago de emergencia. Hasta ahora, Gestido no ha sido citada a comparecer ante la jueza, aunque se espera que eventualmente sea llamada a declarar sobre su participación en la decisión.
Postura del gobierno local
El BNG, partido que gobierna en Cangas, ha expresado su respaldo total a Antón Iglesias, aseverando que cuenta con "toda su confianza". El partido defiende que el gobierno actuó conforme a los procedimientos legalmente establecidos en ese momento, aunque esta afirmación se encuentra en contradicción con las investigaciones fiscales que cuestionan precisamente estos procedimientos.
Implicaciones del ataque ransomware en administraciones públicas
Este caso ilustra la vulnerabilidad de las administraciones locales ante amenazas cibernéticas sofisticadas. El ataque de ransomware en instituciones públicas plantea dilemas complejos respecto a cómo proceder cuando datos críticos están bajo amenaza. Las decisiones tomadas bajo presión pueden resultar en irregularidades administrativas, incluso cuando las intenciones eran resolver una crisis.
El incidente de Cangas se suma a una serie creciente de ataques ransomware contra entidades públicas españolas, subrayando la necesidad de mejorar los protocolos de ciberseguridad y las políticas de contratación de emergencia en administraciones locales.