Südwestfalen-IT: el largo reinicio de la TI municipal
El 30 de octubre de 2023, un ciberataque a Südwestfalen-IT paralizó numerosos sistemas informáticos y aplicaciones especializadas de la ciudad de Soest. El proveedor municipal desconectó su centro de datos de todos los municipios de la asociación y decidió no contactar con los atacantes. A finales de septiembre de 2024, según sus datos, volvió al funcionamiento normal.
Lo esencial en breve
- Tras detectar datos cifrados en servidores, Südwestfalen-IT (SIT) desconectó su centro de datos de todos los municipios de la asociación. La desconexión buscaba impedir la propagación del malware.
- SIT descartó contactar con los atacantes de común acuerdo con las autoridades. Como entidad de derecho público, no contemplaba hacer negocios con organizaciones criminales.
- El funcionamiento normal de SIT debe distinguirse de la restauración completa de todos los servicios municipales. Según SIT, once meses después del ataque se había recuperado el 98 por ciento de los servicios técnicos priorizados por los miembros de la asociación.
Relacionado: ¿Qué es Ransomware? Definición, funcionamiento y protección
Situación del proveedor municipal
Südwestfalen-IT es una entidad de derecho público. Durante la recuperación documentada tras el ataque de 2023, proporcionaba a sus 72 miembros de la asociación infraestructura de TI para 22.000 puestos de trabajo y 160 aplicaciones especializadas. Se trata de aplicaciones con las que las administraciones tramitan digitalmente tareas concretas. El centro de datos de SIT estaba conectado con todos los municipios de la asociación, clientes y socios. En este modelo, la infraestructura y las aplicaciones especializadas de numerosas administraciones convergen en un solo lugar.
¿Qué es la segmentación de red? La segmentación divide una red de TI en zonas separadas con transiciones controladas entre ellas. Así, un atacante que compromete una zona no puede acceder fácilmente a las demás. Según sus datos, Südwestfalen-IT ha aumentado la segmentación de sus sistemas para limitar los posibles daños a zonas concretas.
El ataque y su cronología
El 30 de octubre de 2023, el ciberataque a SIT paralizó numerosos sistemas informáticos y aplicaciones especializadas de la ciudad de Soest. Tras detectar datos cifrados en servidores, SIT cortó las conexiones de su centro de datos con todos los municipios de la asociación, clientes y socios. La medida buscaba impedir que el malware siguiera propagándose. La administración del distrito de Unna no se vio afectada por el ataque y pudo mantener plenamente su actividad.
En Soest, las restricciones continuaron. En enero de 2024, los servicios digitales de atención ciudadana aún no estaban disponibles. Los procedimientos financieros funcionaban de forma limitada y el sitio web habitual seguía desconectado. A finales de septiembre de 2024, según sus datos, SIT pasó de un modo de crisis de once meses al funcionamiento normal.
La decisión de no establecer contacto
La segunda decisión clave afectó al trato con los atacantes. De común acuerdo con las autoridades, SIT renunció a cualquier contacto con ellos. Lo justificó señalando que una entidad de derecho público no podía contemplar negocios con organizaciones criminales. La decisión se basó, por tanto, en la forma jurídica y la función del proveedor.
La empresa r-tec recibió el encargo de realizar el análisis forense, es decir, recopilar pruebas en los sistemas afectados. Su cometido incluía vigilar la dark web, la parte de Internet accesible solo mediante servicios de anonimización donde los atacantes pueden ofrecer datos robados.
Recuperación y costes
Según informó la ciudad de Soest, las restauraciones de datos de SIT estaban intactas y se pusieron de nuevo a disposición de los municipios de forma gradual. Según SIT, los miembros de la asociación habían priorizado mucho más de 100 servicios técnicos; once meses después del ataque, el 98 por ciento de ellos se había recuperado. El paso de SIT al funcionamiento normal debe distinguirse de la restauración completa de todos los servicios municipales.
SIT cifró sus gastos adicionales derivados del ataque hasta el 30 de septiembre de 2024 en unos 2,8 millones de euros. En el plano técnico, según sus datos, había unificado el acceso VPN en toda la asociación. Una VPN permite el acceso remoto cifrado a la red interna. SIT reforzó además ese acceso con autenticación multifactor mediante una contraseña de un solo uso y un certificado, de modo que el inicio de sesión exige varias pruebas independientes. También había aumentado, según sus datos, la segmentación de sus sistemas para limitar los posibles daños a zonas concretas.
Conclusiones para los CISOs de Alemania, Austria y Suiza
Desde el punto de vista de la redacción, el caso documentado plantea cinco puntos que revisar.
- Registrar por separado dos estados de recuperación. El funcionamiento normal de un proveedor debe distinguirse de la restauración completa de los servicios para sus clientes. Los informes de situación para la dirección y los órganos de supervisión son más útiles si muestran ambos estados por separado.
- Contemplar la desconexión completa. SIT cortó las conexiones con todas las entidades conectadas. Los planes de emergencia de las organizaciones que utilizan servicios gestionados de forma centralizada deberían contemplar expresamente este caso.
- Definir de antemano la postura frente a los atacantes. SIT justificó su renuncia a contactar con ellos por su función como entidad de derecho público y la acordó con las autoridades. La postura y los canales de coordinación pueden aclararse antes de un incidente.
- Restauración y orden de prioridad de los servicios. Las restauraciones intactas se devolvieron gradualmente a los municipios. Según sus datos, SIT midió el avance de la recuperación a partir de los servicios priorizados por los miembros de la asociación. Ese orden puede acordarse antes de una emergencia.
- Accesos remotos y zonas de red. El acceso VPN unificado con autenticación multifactor y una mayor segmentación son dos medidas que SIT afirma haber implantado. Ambas pueden servir para revisar la arquitectura propia.
Preguntas frecuentes
Cada pregunta está cerrada. Con un toque se desbloquea la respuesta.
¿Se filtraron datos en el ataque a Südwestfalen-IT?
La empresa r-tec, encargada del análisis forense y la vigilancia de la dark web, no encontró indicios de una filtración de datos. Sin embargo, no había garantías de que no se hubieran filtrado o de que no se publicaran posteriormente.
¿Qué recomendó el municipio de Burbach a los afectados?
El municipio aconsejó usar contraseñas seguras y autenticación adicional, así como mantener actualizados los sistemas operativos, las aplicaciones y la protección antivirus. También recomendó prudencia con los archivos adjuntos, enlaces y descargas.
¿Se conoce el coste total del ataque?
Según SIT, el coste total definitivo no se había determinado porque el ejercicio de 2024 aún estaba en curso. La cifra de unos 2,8 millones de euros comprende sus gastos adicionales hasta el 30 de septiembre de 2024.
Fuente de la imagen: generada con IA (noviembre de 2026)
Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.
