{"id":25758,"date":"2026-10-05T07:00:00","date_gmt":"2026-10-05T07:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=25758"},"modified":"2026-11-03T09:23:02","modified_gmt":"2026-11-03T09:23:02","slug":"sudwestfalen-it-la-larga-recuperacion-de-la-ti-municipal","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/10\/05\/sudwestfalen-it-la-larga-recuperacion-de-la-ti-municipal\/","title":{"rendered":"S\u00fcdwestfalen-IT: el largo reinicio de la TI municipal"},"content":{"rendered":"<p><strong>El 30 de octubre de 2023, un ciberataque a S\u00fcdwestfalen-IT paraliz\u00f3 numerosos sistemas inform\u00e1ticos y aplicaciones especializadas de la ciudad de Soest. El proveedor municipal desconect\u00f3 su centro de datos de todos los municipios de la asociaci\u00f3n y decidi\u00f3 no contactar con los atacantes. A finales de septiembre de 2024, seg\u00fan sus datos, volvi\u00f3 al&nbsp;funcionamiento normal.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">Lo esencial en breve<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Tras detectar datos cifrados en servidores, S\u00fcdwestfalen-IT (SIT) desconect\u00f3 su centro de datos de todos los municipios de la asociaci\u00f3n.<\/strong> La desconexi\u00f3n buscaba impedir la propagaci\u00f3n del&nbsp;malware.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">SIT descart\u00f3 contactar con los atacantes de com\u00fan acuerdo con las autoridades.<\/strong> Como entidad de derecho p\u00fablico, no contemplaba hacer negocios con organizaciones&nbsp;criminales.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">El funcionamiento normal de SIT debe distinguirse de la restauraci\u00f3n completa de todos los servicios municipales.<\/strong> Seg\u00fan SIT, once meses despu\u00e9s del ataque se hab\u00eda recuperado el 98 por ciento de los servicios t\u00e9cnicos priorizados por los miembros de la&nbsp;asociaci\u00f3n.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">Relacionado:<\/strong> <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/07\/08\/que-es-ransomware-definicion-proceso-proteccion\/\" target=\"_blank\" rel=\"noopener\">\u00bfQu\u00e9 es Ransomware? Definici\u00f3n, funcionamiento y&nbsp;protecci\u00f3n<\/a><\/p>\n<h2>Situaci\u00f3n del proveedor&nbsp;municipal<\/h2>\n<p>S\u00fcdwestfalen-IT es una entidad de derecho p\u00fablico. Durante la recuperaci\u00f3n documentada tras el ataque de 2023, proporcionaba a sus <a href=\"https:\/\/burbach-erleben.de\/medien\/FAQ\/20240125%20FAQs%20Cyberangriff.pdf\" target=\"_blank\" rel=\"noopener\">72 miembros de la asociaci\u00f3n<\/a> infraestructura de TI para 22.000 puestos de trabajo y 160 aplicaciones especializadas. Se trata de aplicaciones con las que las administraciones tramitan digitalmente tareas concretas. El centro de datos de SIT estaba conectado con todos los municipios de la asociaci\u00f3n, clientes y socios. En este modelo, la infraestructura y las aplicaciones especializadas de numerosas administraciones convergen en un solo&nbsp;lugar.<\/p>\n<div data-element=\"definition_box\" style=\"background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;padding:20px 24px;margin:32px 0;box-shadow:0 2px 10px rgba(0,0,0,0.22);\">\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\"><strong>\u00bfQu\u00e9 es la segmentaci\u00f3n de red?<\/strong> La segmentaci\u00f3n divide una red de TI en zonas separadas con transiciones controladas entre ellas. As\u00ed, un atacante que compromete una zona no puede acceder f\u00e1cilmente a las dem\u00e1s. Seg\u00fan sus datos, S\u00fcdwestfalen-IT ha aumentado la segmentaci\u00f3n de sus sistemas para limitar los posibles da\u00f1os a zonas&nbsp;concretas.<\/p>\n<\/div>\n<h2>El ataque y su&nbsp;cronolog\u00eda<\/h2>\n<p>El 30 de octubre de 2023, el ciberataque a SIT paraliz\u00f3 <a href=\"https:\/\/www.presse-service.de\/data.aspx\/static\/1148412.html\" target=\"_blank\" rel=\"noopener\">numerosos sistemas inform\u00e1ticos y aplicaciones especializadas de la ciudad de Soest<\/a>. Tras detectar datos cifrados en servidores, SIT cort\u00f3 las conexiones de su centro de datos con todos los municipios de la asociaci\u00f3n, clientes y socios. La medida buscaba impedir que el malware siguiera propag\u00e1ndose. La <a href=\"https:\/\/www.presse-service.de\/data.aspx\/static\/1141587.html\" target=\"_blank\" rel=\"noopener\">administraci\u00f3n del distrito de Unna<\/a> no se vio afectada por el ataque y pudo mantener plenamente su&nbsp;actividad.<\/p>\n<p>En Soest, las restricciones continuaron. En enero de 2024, los servicios digitales de atenci\u00f3n ciudadana a\u00fan no estaban disponibles. Los procedimientos financieros funcionaban de forma limitada y el sitio web habitual segu\u00eda desconectado. A finales de septiembre de 2024, seg\u00fan sus datos, SIT pas\u00f3 de un <a href=\"https:\/\/www.kommune21.de\/k21-meldungen\/ein-jahr-nach-dem-ransomware-angriff\/\" target=\"_blank\" rel=\"noopener\">modo de crisis de once meses<\/a> al&nbsp;funcionamiento normal.<\/p>\n<h2>La decisi\u00f3n de no establecer&nbsp;contacto<\/h2>\n<p>La segunda decisi\u00f3n clave afect\u00f3 al trato con los atacantes. De com\u00fan acuerdo con las autoridades, SIT renunci\u00f3 a cualquier contacto con ellos. Lo justific\u00f3 se\u00f1alando que una entidad de derecho p\u00fablico no pod\u00eda contemplar negocios con organizaciones criminales. La decisi\u00f3n se bas\u00f3, por tanto, en la forma jur\u00eddica y la funci\u00f3n del&nbsp;proveedor.<\/p>\n<p>La empresa r-tec recibi\u00f3 el encargo de realizar el an\u00e1lisis forense, es decir, recopilar pruebas en los sistemas afectados. Su cometido inclu\u00eda vigilar la dark web, la parte de Internet accesible solo mediante servicios de anonimizaci\u00f3n donde los atacantes pueden ofrecer datos&nbsp;robados.<\/p>\n<h2>Recuperaci\u00f3n y&nbsp;costes<\/h2>\n<p>Seg\u00fan inform\u00f3 la ciudad de Soest, las restauraciones de datos de SIT estaban intactas y se pusieron de nuevo a disposici\u00f3n de los municipios de forma gradual. Seg\u00fan SIT, los miembros de la asociaci\u00f3n hab\u00edan priorizado mucho m\u00e1s de 100 servicios t\u00e9cnicos; once meses despu\u00e9s del ataque, el 98 por ciento de ellos se hab\u00eda recuperado. El paso de SIT al funcionamiento normal debe distinguirse de la restauraci\u00f3n completa de todos los servicios&nbsp;municipales.<\/p>\n<p>SIT cifr\u00f3 sus gastos adicionales derivados del ataque hasta el 30 de septiembre de 2024 en unos 2,8 millones de euros. En el plano t\u00e9cnico, seg\u00fan sus datos, hab\u00eda unificado el acceso VPN en toda la asociaci\u00f3n. Una VPN permite el acceso remoto cifrado a la red interna. SIT reforz\u00f3 adem\u00e1s ese acceso con autenticaci\u00f3n multifactor mediante una contrase\u00f1a de un solo uso y un certificado, de modo que el inicio de sesi\u00f3n exige varias pruebas independientes. Tambi\u00e9n hab\u00eda aumentado, seg\u00fan sus datos, la segmentaci\u00f3n de sus sistemas para limitar los posibles da\u00f1os a zonas&nbsp;concretas.<\/p>\n<h2>Conclusiones para los CISOs de Alemania, Austria y&nbsp;Suiza<\/h2>\n<p>Desde el punto de vista de la redacci\u00f3n, el caso documentado plantea cinco puntos que&nbsp;revisar.<\/p>\n<ul style=\"padding-left:1.4em;\">\n<li><strong>Registrar por separado dos estados de recuperaci\u00f3n.<\/strong> El funcionamiento normal de un proveedor debe distinguirse de la restauraci\u00f3n completa de los servicios para sus clientes. Los informes de situaci\u00f3n para la direcci\u00f3n y los \u00f3rganos de supervisi\u00f3n son m\u00e1s \u00fatiles si muestran ambos estados por&nbsp;separado.<\/li>\n<li><strong>Contemplar la desconexi\u00f3n completa.<\/strong> SIT cort\u00f3 las conexiones con todas las entidades conectadas. Los planes de emergencia de las organizaciones que utilizan servicios gestionados de forma centralizada deber\u00edan contemplar expresamente este&nbsp;caso.<\/li>\n<li><strong>Definir de antemano la postura frente a los atacantes.<\/strong> SIT justific\u00f3 su renuncia a contactar con ellos por su funci\u00f3n como entidad de derecho p\u00fablico y la acord\u00f3 con las autoridades. La postura y los canales de coordinaci\u00f3n pueden aclararse antes de un&nbsp;incidente.<\/li>\n<li><strong>Restauraci\u00f3n y orden de prioridad de los servicios.<\/strong> Las restauraciones intactas se devolvieron gradualmente a los municipios. Seg\u00fan sus datos, SIT midi\u00f3 el avance de la recuperaci\u00f3n a partir de los servicios priorizados por los miembros de la asociaci\u00f3n. Ese orden puede acordarse antes de una&nbsp;emergencia.<\/li>\n<li><strong>Accesos remotos y zonas de red.<\/strong> El acceso VPN unificado con autenticaci\u00f3n multifactor y una mayor segmentaci\u00f3n son dos medidas que SIT afirma haber implantado. Ambas pueden servir para revisar la arquitectura&nbsp;propia.<\/li>\n<\/ul>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 cerrada. Con un toque se desbloquea la&nbsp;respuesta.<\/p>\n<details>\n<summary><strong>\u00bfSe filtraron datos en el ataque a&nbsp;S\u00fcdwestfalen-IT?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">La empresa r-tec, encargada del an\u00e1lisis forense y la vigilancia de la dark web, no encontr\u00f3 indicios de una filtraci\u00f3n de datos. Sin embargo, no hab\u00eda garant\u00edas de que no se hubieran filtrado o de que no se publicaran&nbsp;posteriormente.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 recomend\u00f3 el municipio de Burbach a los&nbsp;afectados?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">El municipio aconsej\u00f3 usar contrase\u00f1as seguras y autenticaci\u00f3n adicional, as\u00ed como mantener actualizados los sistemas operativos, las aplicaciones y la protecci\u00f3n antivirus. Tambi\u00e9n recomend\u00f3 prudencia con los archivos adjuntos, enlaces y&nbsp;descargas.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfSe conoce el coste total del&nbsp;ataque?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Seg\u00fan SIT, el coste total definitivo no se hab\u00eda determinado porque el ejercicio de 2024 a\u00fan estaba en curso. La cifra de unos 2,8 millones de euros comprende sus gastos adicionales hasta el 30 de septiembre de&nbsp;2024.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=es--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Fuente de la imagen: generada con IA (noviembre de 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"El ciberataque a S\u00fcdwestfalen-IT afect\u00f3 al proveedor de TI de 72 miembros de la asociaci\u00f3n. Un estudio de caso sobre contenci\u00f3n y recuperaci\u00f3n.","protected":false},"author":50,"featured_media":25509,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"S\u00fcdwestfalen-IT","_yoast_wpseo_title":"S\u00fcdwestfalen-IT: la larga recuperaci\u00f3n de la TI municipal","_yoast_wpseo_metadesc":"El ciberataque a S\u00fcdwestfalen-IT afect\u00f3 al proveedor de TI de 72 miembros de la asociaci\u00f3n. Un caso sobre contenci\u00f3n y recuperaci\u00f3n.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[223],"tags":[],"class_list":["post-25758","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-case-studies"],"evm_reading_time_minutes":6,"wpml_language":"es","wpml_translation_of":25507,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25758","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=25758"}],"version-history":[{"count":10,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25758\/revisions"}],"predecessor-version":[{"id":25953,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25758\/revisions\/25953"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/25509"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=25758"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=25758"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=25758"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}