Los exconsellers de Interior del Govern Felip Puig y Ramon Espadaler han negado que el exdirector del Centro de Seguridad de la Información de Catalunya (CESICAT) C.F. y el exresponsable de gestión de incidentes de la entidad X.P.L., interceptaran y espiaran correos electrónicos dirigidos a altos cargos del Govern.

En su declaración como testigos en el juicio contra C.F. y X.P.L. que se celebra en la Audiencia de Barcelona, Puig, han explicado que recibieron un correo del extrabajador del CESICAT en la que denunciaba presuntas irregularidades y que avisaron tanto al organismo como a los Mossos de que en el documento del antiguo empleado aparecían “pantallazos” de ordenador con datos personales de funcionarios.

Puig ha desvinculado la denuncia del supuesto espionaje y la enmarcado en un posible fallo de seguridad informática que ya fue subsanado. Ha insistido en que reenvió la alerta del exempleado a C.F. y X.P.L., por lo que, ha remarcado, ya estaba dando su “permiso implícito” para que ambos acusados leyeran la denuncia.

El exconseller Puig, entonces titular del departamento de Empresa, ha asegurado además que en los mensajes remitidos por el expleado (cuya denuncia ha desembocado en el juicio de este lunes) había una “actitud de descontento y resentimientos” contra C.F. y X.P.L.

La Fiscalía pide para C.F. y X.P.L. cuatro años y tres meses de prisión por un delito de descubrimiento de secretos relacionado con el supuesto espionaje de correos electrónicos. Según el fiscal, ambos acusados acordaron en 2013 la creación de un “sistema de interceptación” de correos electrónicos después de recibir la alerta de un empleado del CESICAT sobre “posibles irregularidades y deficiencias” en el organismo.

Dicho sistema de interceptación consistía en un filtro de todos los correos electrónicos que enviaba el empleado a cualquier destinatario que tuviera una cuenta de correo de la Generalitat de Catalunya, que terminaban llegando a C.F. y X.P.L., según el fiscal. El mecanismo, continúa el Ministerio Público, permitía que los correos llegaran tanto a su legitimo destinatario como a ambos acusados.

C.F. abandonó el CESICAT en noviembre de 2013 tras una etapa tormentosa al frente del organismo, encargado de la seguridad en la red. La red Anonymous filtró que el organismo hizo seguimientos a activistas en la red, lo que le valió una denuncia por espionaje.

Todo estaba listo este lunes para que arrancara en la Audiencia de Barcelona el juicio contra el expresidente del Centro de Seguridad de la Información de Catalunya (CESICAT) C.F. y el exresponsable de gestión de incidentes de la entidad X.P.L., acusados por la Fiscalía de espiar correos electrónicos dirigidos a altos cargos del Govern. Pero a última hora el tribunal de la sección 5a ha optado por suspender la vista hasta los próximos 21, 22 y 23 de septiembre.

Un cúmulo de razones han llevado a suspender la vista en la sección 5a de la Audiencia de Barcelona. La próxima jubilación de su presidenta, Elena Guindulain, que era la ponente de la sentencia y la presidenta del tribunal, ha hecho que la magistrada priorice terminar todos sus asuntos pendientes –la sección acumula mucha sobrecarga de trabajo ya que en 2019 entraron hasta el doble de recursos que en 2018, además de juzgar asuntos muy complejos.

Ambos motivos, unido a que el del CESICAT se trata de un juicio de tres días con abundante prueba documental, han llevado al tribunal a suspender la vista hasta después del verano, cuando se nombrará a un sustituto de Guindulain para formar sala y juzgar los hechos.

La Fiscalía pide para C.F. y X.P.L. cuatro años y tres meses de prisión por un delito de descubrimiento de secretos relacionado con el supuesto espionaje de correos electrónicos. Según el escrito del fiscal, ambos acusados acordaron en 2013 la creación de un “sistema de interceptación” de correos electrónicos después de recibir la alerta de un empleado del CESICAT sobre “posibles irregularidades y deficiencias” en el organismo. El empleado también envió sus alertas a dos consellers del Govern.

Dicho sistema de interceptación consistía en un filtro de todos los correos electrónicos que enviaba el empleado a cualquier destinatario que tuviera una cuenta de correo de la Generalitat de Catalunya, que terminaban llegando a C.F. y X.P.L., según el fiscal. El mecanismo, continúa el Ministerio Público, permitía que los correos llegaran tanto a su legitimo destinatario como a ambos acusados.

A criterio del fiscal, ha sido acreditado que al menos uno de esos correos que envió el empleado al conseller de Interior Ramon Espadaler y su antecesor Felip Puig “fue no solo leído sino contestado” por C.F. El e-mail contenía un link a una página web con acceso a información del ámbito de la seguridad.

C.F. abandonó el CESICAT en noviembre de 2013 tras una etapa tormentosa al frente del organismo, encargado de la seguridad en la red. Y es que Anonymous filtró que el organismo hizo seguimientos a activistas en la red, lo que le valió una denuncia por espionaje.

Lo que empezó como una investigación sobre las palabras del exjuez Santiago Vidal derivó en un escrutinio sobre el 1-O y los contratos de la Generalitat en busca de malversación en las denominadas “estructuras de Estado”. Sin embargo, el juez de instrucción 13 de Barcelona, Juan Antonio Ramírez Sunyer, no fue el primero ni el único en investigar sobre esta cuestión.

Cuando Ramírez Sunyer abrió la causa en febrero pasado, la Fiscalía de la Audiencia Nacional ya llevaba un año investigando las estructuras de Estado. En concreto, el ministerio público tenía la sospecha de que el CESICAT, una fundación de la Generalitat sobre ciberseguridad adscrita al departamento de Presidencia, era el embrión de la futura Agencia de Seguridad Nacional (ASN), una suerte de CNI a la catalana.

“Las actividades irregulares del CESICAT alcanzarían también la ejecución de actividades de censura mediante la eliminación de páginas web; al control de las comunicaciones mediante la interceptación de correos electrónicos; el acceso a bases de datos ajenas; al encargo de informes sobre empresarios y altos cargos de la Generalitat e incluso la creación de bases de datos de ciudadanos”, sostenía la Fiscalía.

El levantamiento del secreto de sumario de la causa del 13 ha permitido conocer detalles sobre la investigación pilotada por los fiscales de la Audiencia Nacional Javier Zaragoza y Miguel Ángel Carballo sobre las estructuras de Estado. El motivo es que la Fiscalía se inhibió en favor del juez en septiembre de este año, después de que ambos investigaran durante seis meses en paralelo la creación de estructuras de Estado. Fue la Guardia Civil quien advirtió al fiscal de que el juez Ramírez Sunyer estaba investigando lo mismo.

Las diligencias de la Fiscalía incluyeron un alud de solicitudes de documentación y contratos millonarios de la Generalitat con una veintena de empresas, entre ellas grandes multinacionales tecnológicas y consultoras. Los contratos reclamados no sólo versaban sobre ciberseguridad. También se reclamaron, por ejemplo, los procesos de contratación para la digitalización de las tarjetas de transporte pública, las llamadas T-Mobilidad.

Asimismo, se requirieron a la Seguridad Social los informes de vida laboral de unos setenta trabajadores, tanto del CESICAT como de firmas del sector privado. En el momento de inhibirse en favor del juez, la Fiscalía mantenía sospechas sobre la presunta conversión del CESICAT en una agencia de inteligencia.

No obstante, las respuestas de las empresas y los contratos solicitados se enmarcan en labores sobre las que la Generalitat tenía competencias autonómicas. Algunas grandes firmas, como Deloitte, llegaron a concretar al fiscal “la inexistencia de encargos de la Generalitat con finalidad o alcance de asistir a una estructura de Estado”.

Por su lado, el juez siguió la misma tesis de la Fiscalía y requirió a la Guardia Civil para pedir a la empresa It Corporate Solutions Spain SL, con sede en Madrid, a aportar todos los servicios de seguridad informática que le hubiese encargado la Generalitat.

El CESICAT, en la primera legislatura de Artur Mas, fue objeto de importantes polémicas, que desveló este diario, como por ejemplo la elaboración de informes de activistas sociales junto a los Mossos d'Esquadra.

El juez, además del CESICAT, se centró en la construcción de la Hacienda catalana. De hecho, uno de los primeros imputados fue el secretario de Hacienda del Govern, Lluís Salvadó. Las pesquisas no logran confirmar que Catalunya dispusiera de una agencia tributaria al uso para afrontar la independencia, y de hecho vienen más a avalar la escasa preparación de la Generalitat para afrontar el cobro de los grandes impuestos que ahora gestiona el Estado.

A septiembre de 2017, un informe de la Guardia Civil sí plasmaba que la Generalitat había encargado a varias multinacionales el diseño de la organización del sistema fiscal de una hipotética Catalunya independiente, incluido el detalle de sus organismos rectores, tal y como el propio Govern de Artur Mas había anunciado que haría.

“Por cierto”, señalaba el presidente de la Generalitat Artur Mas el martes en la valoración de la jornada del 9 de noviembre, “puestos a hablar de dificultades e impedimentos, en estos dos últimos días los sistemas informáticos y de información y comunicación de la Generalitat han sido objeto de ataques durísimos organizados de tipo cibernético”.

Efectivamente, el día antes de la consulta no se podía acceder a las webs de la Generalitat, pero es que el ataque, además, afectó el servicio de la receta electrónica en las farmacias, impidió que el Servicio de Emergencias Médicas (SEM) pudiera acceder al historial clínico o al servicio de gestión de imágenes, y también hizo caer la página del Servicio Meteorológico de Catalunya –una de las más visitades–, entre otras. Desde el Cesicat –la organización encargada de la seguridad informática de la Generalitat– aseguran, sin embargo, que los servicios de comunicaciones policiales, de emergencias y de protección civil no se vieron afectados.

El tono de los mensajes de los organismos públicos al respecto parece querer ser alarmista a la vez que tranquilizador. Mas dijo que señalaba esos ataques para remarcar las adversidades con las que lidió la celebración del 9-N, unos ataques “organizados” de “gran magnitud”. Desde el fin de semana algunos medios catalanes hablan de “ciberguerra”. “Tenemos la sospecha de que no pueden ser unos cuantos hackers amateurs o tuiteros más o menos amateurs que organizan algo así, aquí hay otra cosa, que estamos analizando, aunque de momento no podemos señalar a nadie”, dijo el president. ¿Pero qué tipo y nivel de ataque sufrió la Generalitat?

Ataque de denegación de servicio

La Generalitat sufrió un ataque de denegación de servicio, que es –según un informe de Verisign– la causa de un tercio de los incidentes de caídas de webs. El método pasa por hacer tantas peticiones de información a un servidor que se sobrecargue y se haga inaccesible. El método más habitual para hacerlo es a través de una botnet, una red de ordenadores infectados con un virus que permita al atacante controlarlos sin que lo sepa el usuario. Así un atacante puede tener ordenadores en todo el mundo enviando solicitudes de información a un servidor para sobrecargarlo. El sábado, por ejemplo, la Generalitat contactó con una institución que la estaba atacando sin saberlo para que pusieran respuesta.

Los ataques que sufrió la Generalitat comenzaron el día 8, cuando se multiplicó de golpe por 20.000 el tráfico a los servicios de la Generalitat, provocando su caída. El Cesicat, explican, pudo controlar el ataque y mantener los servicios activos al día siguiente, cuando se incrementó y el tráfico ya era 62.000 veces superior a lo habitual y concentró el 90% de todos los ataques sufridos en el Estado español. El Digital Attack Map (que se puede ver más arriba en este artículo), elaborado por Google y la consultora Arbor, muestra cómo ganan importancia en el panorama global los ataques en territorio español.

Los ataques sufridos por la Generalitat no son los más sofisticados ya que, como muestra el mapa y confirma el Cesicat, iban destinados al DNS, que es el sistema que permite llevar a los usuarios de la dirección de un dominio –como por ejemplo la web gencat.cat– al lugar donde se encuentra el contenido. Otros ataques pueden ir destinados directamente al servidor, pero en este caso lo que hicieron fue colapsar la vía de acceso. El propio presidente del Cesicat, Jordi Puigneró, reconocía ayer en RAC1 que no fue del tipo de ataques más graves, ya que no se accedió al servidor, simplemente se bloqueó el acceso.

¿Una ofensiva fácil?

Actualmente, los ataques de DDoS (denegación de servicio distribuida), que habían sido una forma de extorsionar entidades financieras o empresas haciendo caer sus webs, se pueden contratar a hackers que tienen botnets a su servicio. Un día de ataque DDoS podría costar 40 dólares según Webroot o entre 30 y 70 dólares según TrendMicro. No obstante, desde el Cesicat ponen esta facilidad en cuestión.

“No es tan fácil contratarlo, porque tienes que conocer su lenguaje y moverte en sus foros, y sí que es barato contratar un ataque de denegación de servicio, pero no un ataque del nivel que hemos sufrido nosotros”, asegura un portavoz de la Dirección General de Telecomunicaciones y Sociedad de la Información, de la que depende el Cesicat. “El nivel de tráfico que generaron para atacarnos podría tumbar las webs de muchos bancos importantes”, añade. lo califican como el ataque más importante en la historia de Catalunya y el cuarto más importante en el mundo ese día.

El organismo no detalla, sin embargo, la magnitud del ataque. La única referencia es el Digital Attack Map, que cifra el volumen de ataques al Estado alrededor de los 40 Gbps –magnitud que el Cesicat se abstiene de comentar. Se trata de un ataque muy superior, por ejemplo, al que sufrió un referéndum ciudadano online el pasado junio en Hong Kong, pero en cambio muy inferior a los sufridos a mediados de abril en Polonia, y en todo caso, lejos de los más grandes registrados, que llegarían a los 300 Gbps, según Verisign.

Los datos del Digital Attack Map dan además indicios de cómo se hizo este ataque, una posibilidad que explicaría como la Generalitat pudo frenarlo a partir del primer día. Gran parte de los ataques registrados provienen de servidores NTP, servidores públicos dedicados a la sincronización de la hora entre sistemas informáticos. En enero se identificaba una nueva técnica de ataques DDoS que consistía en, en vez de desbordar el objetivo, hacerse pasar por él y pedir información a los NTPs para que sean éstos los que envíen información masivamente. Sin embargo, estos ataques se pueden parar fácilmente, ya que bloquear el tráfico de los NTPs no tiene consecuencias graves.

Desde el Cesicat lo que cuentan es que tomaron medidas de contención y se bloqueó el tráfico entrante sospechoso, las entradas que no se consideraban lícitas.El mismo día 8 los problemas quedaron resueltos, y también durante los días siguientes cuando se incrementaron los ataques. Esta solución podría ser la respuesta a un ataque por la vía del NTP, pero no necesariamente.

Los responsables del Gobierno aseguran que investigan el caso para buscar responsables, pero sin embargo, el carácter distribuido del ataque hace que el origen primero sea prácticamente imposible de identificar.

Ataque al independentismo

Una web de la Generalitat que no cayó fue la dedicada al proceso participativo del 9-N, participa2014.cat. Desde el Cesicat se limitan a detallar que el proveedor de servicios de esta web no cayó porque el lugar donde apuntaba el ataque no afectó a esta web. Es decir, no dependía de los mismos DNS que gencat.cat. No obstante, remarcan que los ataques sufridos el fin de semana tienen intencionalidad política.

De hecho, la Generalitat no fue la única afectada, sino que la Asamblea Nacional Catalana y la Asociación de Municipios por la Independencia también tuvieron sus webs tumbadas. Voluntarios de la ANC y Òmnium, además, denunciaron un boicot telefónico.

Más allá de esto, la red guifi.net comunica que durante el fin de semana observaron fuertes ataques dirigidos hacia dominios .cat alojados dentro de su red “con la intención evidente de colapsarlos y con ello impedir el acceso a algunas webs relacionadas con el 9-N desde Internet”. No obstante, remarcan que sus sistemas de defensa automáticos funcionaron correctamente.

El Cesicat, un organismo polémico

El Cesicat, encargado de velar por la seguridad de la Generalitat ante este tipo de ataques, es un organismo rodeado por la polémica a raíz de filtraciones de informes sobre activistas elaborados por este órgano en octubre de 2013. Después de negarlo varias veces, el consejero Felip Puig admitió que el Cesicat había estado haciendo seguimiento de activistas, periodistas y políticos en las redes y otras fuentes abiertas por encargo de los Mossos d'Esquadra. Recientemente, la Autoridad Catalana de Protección de Datos (ACPD) comunicó a uno de los periodistas investigados que sancionará el Cesicat.

Por otra parte, un antiguo colaborador del centro denunció ante los juzgados que trabajadores del Cesicat intervenían sus comunicaciones dentro de los sistemas de la Generalitat, en las que comunicaba una serie de vulnerabilidades. El juez, sin embargo, en una primera instancia dio por válidas las explicaciones de Interior y no prosiguió con la investigación, aunque tras un recurso ha llamado a declarar a un trabajador y al expresidente del Cesicat.

En relación a las vulnerabilidades a las que hacía referencia en los correos, este experto en seguridad informática aseguraba que había ordenadores de la Generalitat infectados por una botnet y que más de 2.000 credenciales de empleados públicos estaban en manos de hackers. Para denunciar los hechos aportó a los grupos parlamentarios y al Govern capturas de pantalla de servicios como los expedientes médicos de CatSalut, la gestión de nóminas de funcionarios o el servicio de reservas de alojamientos de los Mossos.

“Per cert”, senyalava el president de la Generalitat Artur Mas el dimarts en la valoració de la jornada del 9 de novembre, “posats a parlar de dificultats i impediments, en aquests dos últims dies els sistemes informàtics i d'informació i comunicació de la Generalitat han estat objecte d'atacs duríssims organitzats de tipus cibernètic”.

Efectivament, el dia abans de la consulta no es podia accedir a les webs de la Generalitat, però és que l'atac, a més, va afectar el servei de la recepta electrònica a les farmàcies, va impedir que el Servei d'Emergències Mèdiques (SEM) pogués accedir a l'historial clínic ni al servei de gestió d'imatges, i també va fer caure la pàgina del Servei Meteorològic de Catalunya –una de les més visitades–, entre altres. Des del Cesicat –l'organització encarregada de la seguretat informàtica de la Generalitat– asseguren, però, que els serveis de comunicacions policials, d'emergències i de protecció civil no es van veure afectats.

El to dels missatges dels organismes públics al respecte sembla voler ser alarmista alhora que tranquilitzador. Mas va assegurar que senyalava aquests atacs per remarcar les adversitats que es va trobar la celebració del 9-N, amb uns atacs “organitzats” de “gran magnitud”, i des del cap de setmana alguna mitjans parlen de “ciberguerra”. “Tenim la sospita que no poden ser uns quants hackers amateurs o tuiteros més o menys amateurs que organitzen alguna cosa així, aquí hi ha una altra cosa, que estem analitzant, tot i que de moment no podem assenyalar ningú”, va dir. Però quin tipus i nivell d'atac va patir la Generalitat?

Atac de denegació de servei

La Generalitat va patir un atac de denegació de servei, que és –segon un informe de Verisign– la causa de d'un terç dels incidents de caiguda de webs. El mètode passa per fer tantes peticions d'informació a un servidor que es sobrecarregui i es faci inaccessible. El mètode més habitual per fer-ho és a través d'una botnet, una xarxa d'ordinadors infectats amb un virus que permeti a l'atacant controlar-los sense que ho sàpiga l'usuari. Així un atacant pot tenir ordinadors a tot el món enviant sol·licituds d'informació a un servidor per sobrecarregar-lo. El dissabte, per exemple, la Generalitat va contactar amb una institució que l'estava atacant sense saber-ho perquè hi posessin resposta.

Els atacs que va patir la Generalitat van començar el dia 8, quan es va multiplicar de cop per 20.000 el tràfic als serveis de la Generalitat, provocant-ne la caiguda. El Cesicat, expliquen, va poder controlar l'atac i mantenir els serveis actius l'endemà, quan es va incrementar i el tràfic ja era 62.000 cops superiors a l'habitual i va concentrar el 90% de tots els atacs patits a l'Estat espanyol. El Digital Attack Map (que es pot veure a l'inici d'aquest article), elaborat per Google i la consultora Arbor, mostra com guanyen importància en el panorama global els atacs en territori espanyol.

Els atacs patits per la Generalitat no són dels més sofisticats ja que, com mostra el mapa i confirma el Cesicat, anaven destinats al DNS, que és el sistema que permet portar els usuaris de l'adreça d'un domini –com per exemple gencat.cat– al lloc on es troba el contingut. Altres atacs poden anar destinats directament al servidor, però en aquest cas el que van fer va ser col·lapsar la via d'accés. El mateix president del Cesicat, Jordi Puigneró, reconeixia ahir a RAC1 que no va ser del tipus d'atacs més greus, ja que no es va accedir al servidor, simplement es va bloquejar l'accés.

Una ofensiva fàcil?

Actualment, els atacs de DDoS (denegació de servei distribuïda), que havien estat una forma d'extorsionar entitats financeres o empreses fent caure les seves webs, es poden contractar a hackers que tenen botnets al seu servei. Un dia d'atac DDoS podria costar 40 dòlars segons Webroot o entre 30 i 70 dòlars segons TrendMicro. No obstant, des del Cesicat posen aquesta facilitat en qüestió.

“No és tan fàcil contractar-ho, perquè has de conèixer el seu llenguatge i moure't en els seus fòrums, i sí que és barat contractar un atac de denegació de servei, però no un atac del nivell que hem patit nosaltres”, assegura un portaveu de la Direcció General de Telecomunicacions i Societat de la Informació, de la que depèn el Cesicat. “El nivell de trànsit que van generar per atacar-nos podria tombar les webs de molts bancs importants”, afegeix. El qualifiquen com l'atac més important a la història de Catalunya i el quart més important al món aquell dia.

L'organisme no detalla, però, la magnitud de l'atac. L'única referència és el Digital Attack Map, que xifra el volum d'atacs a l'Estat al voltant dels 40 Gbps –magnitud que el Cesicat s'absté de comentar. Es tracta d'un atac molt superior, per exemple, al que va patir un referèndum ciutadà online el passat juny a Hong Kong, però en canvi molt inferior als patits a mitjans d'abril a Polònia, i en tot cas, lluny dels més grans registrats, que arribarien als 300 Gbps, segons Verisign.

Les dades del Digital Attack Map donen a més indicis de com es va fer aquest atac, una possibilitat que explicaria com la Generalitat va poder frenar-los a partir del primer dia. Gran part dels atacs registrats provenen de servidors NTP, servidors públics dedicats a la sincronització de l'hora entre sistemes informàtics. Al gener s'identificava una nova tècnica d'atacs DDoS que consistia en, en comptes de desbordar l'objectiu, fer-se passar per ell i demanar informació als NTPs perquè siguin aquests els que enviïn informació massivament. Tot i això, aquests atacs es poden aturar fàcilment, ja que bloquejar el tràfic dels NTPs no té conseqüències greus.

Des del Cesicat el que expliquen és que van prendre mesures de contenció i es va bloquejar el tràfic entrant sospitós, les entrades que no es consideraven lícites. El mateix dia 8 els problemes van quedar resolts, i també durant els propers dies quan es van incrementar els atacs. Aquesta solució podria ser la resposta a un atac per la via del NTP, però no necessàriament.

Els responsables del Govern asseguren que investiguen el cas per buscar-ne responsables, però no obstant, el caràcter distribuït de l'atac fa que l'orígen primer sigui pràcticament impossible d'identificar.

Atac a l'independentisme

Una web de la Generalitat que no va caure, va ser la dedicada al procés participatiu del 9-N, participa2014.cat. Des del Cesicat es limiten a detallar que el proveïdor de serveis d'aquesta web no va caure perquè el lloc on apuntava l'atac no va afectar aquesta web. És a dir, no depenia dels mateixos DNS que gencat.cat. No obstant, remarquen que els atacs patits al cap de setmana tenen intencionalitat política.

De fet, la Generalitat no va ser l'única afectada, sinó que l'Assemblea Nacional Catalana i l'Associació de Municipis per la Independència també van tenir les seves webs tombades. Voluntaris de l'ANC i Òmnium, a més a més, van denunciar un boicot telefònic.

Més enllà d'això, la xarxa guifi.net comunica que durant el cap de setmana van observar forts atacs dirigits cap a dominis .cat allotjats dins la seva xarxa “amb la intenció evident de col·lapsar-los i amb això impedir l'accés a algunes webs relacionades amb el 9-N des d'Internet”. No obstant, remarquen que els seus sistemes de defensa automàtics van funcionar correctament.

El Cesicat, un organisme polèmic

El Cesicat, encarregat de vetllar per la seguretat de la Generalitat davant aquesta mena d'atacs, és un organisme envoltat per la polèmica arran de filtracions d'informes sobre activistes elaborats per aquest òrgan a l'octubre del 2013. Després de negar-ho diverses vegades, el conseller Felip Puig va admetre que el Cesicat havia estat fent seguiment d'activistes, periodistes i polítics a les xarxes i altres fonts obertes per encàrrec dels Mossos d'Esquadra. Recentment, l'Autoritat Catalana de Protecció de Dades va comunicar a un dels periodistes investigats que sancionarà el Cesicat.

Per altra banda, un antic col·laborador del centre va denunciar davant els jutjats que treballadors del Cesicat intervenien les seves comunicacions dins els sistemes de la Generalitat, en les que comunicava un seguit de vulnerabilitats. El jutge, però, en una primera instància va donar per vàlides les explicacions d'Interior i no va prosseguir amb la investigació, tot i que després d'un recurs ha cridat a declarar a un treballador i a l'expresident del Cesicat.

En relació a les vulnerabilitats a les que feia referència en els correus presumptament intervinguts, aquest expert en seguretat informàtica assegurava que hi havia ordinadors de la Generalitat infectats per una botnet i que més de 2.000 credencials de treballadors públics estaven en mans de hackers. Per denunciar els fets va aportar als grups parlamentaris i al Govern captures de pantalla de serveis com els expedients mèdics de CatSalut, la gestió de nòmines de funcionaris o el servei de reserves d'allotjaments dels Mossos.

Por primera vez una autoridad responde al escándalo originado por las filtraciones de archivos con carácter ideológico elaborados por el Centro de Seguridad de la Información de Cataluña (Cesicat). El fotoperiodista Jordi Borràs denunció ante la Autoridad Catalana de Protección de Datos (ACPD) un informe de siete páginas realizado por el Cesicat porque hacía fotos a Mossos de paisano.

Ahora, la ACPD inicia un procedimiento sancionador en el que se imputa al organismo de seguridad de la Generalitat tres infracciones de la Ley orgánica de la protección de datos. Por un lado, la recogida y tratamiento de datos personales “sin haber solicitado previamente la inscripción del fichero correspondiente al Registro de Protección de Datos de Catalunya” y “el tratamiento de datos personales sin tener recabado el consentimiento de las personas afectadas”.

El informe contenía datos personales y de contacto de Jordi Borràs, así como información sobre su actividad profesional. Todas estas informaciones se podían encontrar en internet, pero la legislación no permite al Cesicat recopilarlas y sistematizarlas incumpliendo estos dos elementos.

Por otra parte, la tercera infracción sería por “el acceso por parte de personas ajenas al Cesicat a documentos elaborados por este organismo, los cuales fueron objeto de difusión a través de internet”. Hay que recordar que cuando se filtró este informe, que incluía una dirección de residencia de Borrás, el fotoperiodista se encontraba bajo amenazas de muerte de grupos de extrema derecha, por lo que había suspendido las presentaciones de su libro Warcelona, una historia de violencia, que mostraba precisamente las imágenes de violencia policial por las que lo investigaba el Cesicat.

La polémica de las fuentes abiertas

El Govern negó en varias ocasiones que los documentos, en los que se monitorizaba y se clasificaba ideológicamente a activistas, abogados, periodistas y políticos, estuvieran elaborados por el Cesicat. Sin embargo, al día siguiente de las filtraciones, el organismo reclamó a Dropbox los derechos de autor de los informes y, por tanto, su retirada de la red.

Tres meses después, el consejero de Empresa y Empleo Felip Puig, responsable del organismo, admitió que el Cesicat había elaborado estos informes por encargo de los Mossos. Puig remarcó que se utilizaban “fuentes abiertas” y que “cualquiera de nosotros podría hacer estos informes con una cierta dedicación, pero el Cesicat disponía de las herramientas que permitían hacerlo con rapidez”.

No obstante, lo que pone de relieve la ACPD es que, aunque la información fuera fácilmente accesible, el Cesicat no estaba autorizado a tratar dichos datos de carácter personal y por ello inicia el procedimiento sancionador. Esta es la primera respuesta a las diversas denuncias y quejas presentadas contra estos informes.

Per primer cop una autoritat respon a l'escàndol originat per les filtracions d'arxius amb caràcter ideològic elaborats pel Centre de Seguretat de la Informació de Catalunya (Cesicat). El fotoperiodista Jordi Borràs va denunciar davant l'Autoritat Catalana de Protecció de Dades (ACPD) un informe de set pàgines realitzat pel Cesicat perquè feia fotos de Mossos d'Esquadra de paisà.

Ara, l'ACPD inicia un procediment sancionador en el que s'imputa a l'organisme de seguretat de la Generalitat tres infraccions de la Llei orgànica de la protecció de dades. Per una banda, la recollida i tractament de dades personals “sense haver sol·licitat prèviament la inscripció del fitxer corresponent al Registre de Protecció de Dades de Catalunya” i “el tractament de dades personals sense haver recavat el consentiment de les persones afectades”.

L'informe contenia dades personals i de contacte de Jordi Borràs, així com informació sobre l'activitat professional. Totes aquestes informacions es podien trobar a internet, però la legislació no permet al Cesicat recopilar-les i sistematitzar-les incomplint aquests dos elements.

Per altra banda, la tercera infracció seria per “l'accés per part de persones alienes al Cesicat a documents elaborats per aquest organisme, els quals van ser objecte de difusió a través d'internet”. Cal recordar que quan es va filtrar aquest informe, que incloïa una adreça de residència de Borràs, el fotoperiodista es trobava sota amenaces de mort de grups d'extrema dreta, motiu pel qual havia suspès les presentacions del seu llibre Warcelona, una historia de violencia, que mostrava precisament les imatges de violència policial per les quals l'investigava el Cesicat.

La polèmica de les fonts obertes

El Govern va negar en diverses ocasions que els documents, en els que es monitoritzava i es classificava ideològicament a activistes, advocats, periodistes i polítics, estiguessin el·laborats pel Cesicat. No obstant, l'endemà de les filtracions, l'organisme va reclamar a Dropbox els drets d'autor dels informes i, per tant, la seva retirada de la xarxa.

Tres mesos després, el conseller d'Empresa i Ocupació Felip Puig, responsable de l'organisme, va admetre que el Cesicat havia elaborat aquests informes per encàrrec dels Mossos d'Esquadra. Puig va remarcar que es feien servir fonts obertes i que “qualsevol de nosaltres podria fer aquests informes amb una certa dedicació, però el Cesicat disposava de les eines que permetien fer-ho amb rapidesa”.

No obstant, el que posa en relleu l'ACPD és que, tot i que la informació fos fàcilment accessible, el Cesicat no estava autoritzat a tractar aquestes dades de caràcter personal i per això inicia el procediment sancionador. Aquesta és la primera resposta a les diverses denúncies i queixes presentades contra aquests informes.

El conseller de Empresa y Empleo Felip Puig ha comparecido este viernes en la Comisión de Empresa y Empleo del Parlament para dar explicaciones sobre las diversas polémicas que rodean el Centro de Seguridad de la Información de Catalunya (Cesicat). Puig ha reconocido la existencia de varios documentos filtrados, pero ha negado que el centro estuviera llevando a cabo tareas de espionaje.

Desde que el pasado octubre se filtraron una serie de informes atribuidos al centro que mostraban el seguimiento de la actividad de activistas en las redes sociales la polémica ha ido en aumento. Nuevas informaciones apuntaron a un proyecto para espiar los teléfonos móviles de altos cargos, a un plan para crear una Agencia Nacional de Seguridad de Catalunya, que algunos medios han llamado de “CNI catalán”, y una situación de grave vulnerabilidad de los sistemas de la Generalitat.

Puig ha iniciado su comparecencia reivindicando la importancia de las tareas de ciberseguridad, y ha atribuido a esto el crecimiento del Cesicat, que asumió tareas del Centro de Telecomunicaciones y Tecnologías de la Información de la Generalitat (CTTI) y amplió su presupuesto hasta los cuatro millones de euros. No obstante, ha asegurado que “el Cesicat no ha intentado ser ni es un embrión de un CNI”.

Admite el seguimiento de activistas

Aunque inicialmente todas las instancias del Govern negaron la veracidad de los informes de seguimiento de activistas en las redes, Felip Puig cambia la versión de los hechos y admite que los Mossos encargaron al Cesicat este tipo de informes. Ha asegurado que el centro siempre ha colaborado con los Mossos y que sólo ha elaborado informes bajo su encargo.

El conseller ha querido remarcar que toda la investigación se hace con fuentes abiertas, información disponible para cualquier usuario. “Cualquiera de nosotros podría hacer estos informes con una cierta dedicación, pero el Cesicat disponía de las herramientas que permitían hacerlo con rapidez”, ha dicho. No obstante, la legislación de protección de datos prohíbe la elaboración de ficheros con datos personales de carácter ideológico.

Puig ha insistido en que estas informaciones se han trabajado con alta confidencialidad y sólo han tenido acceso a ellas los cargos correspondientes de los Mossos, obviando su difusión por las redes sociales.

Negación del espionaje

En relación al espionaje de teléfonos móviles, Puig ha explicado que se han relacionado dos procedimientos. Por un lado, el Cesicat estudia el cifrado de los teléfonos móviles de altos cargos. Por otro lado, elaboró ​​un informe sobre el uso de Cerverus, software que sirve para acceder remotamente a teléfonos móviles y hacer uso de la cámara, micrófono o archivos.

El conseller ha explicado que el informe se hizo a petición de los Mossos d'Esquadra y asegura que para su uso interno. “El objetivo de Cerverus era apoyar policías en sus funciones en operaciones de alto riesgo y no se implanta sin conocimiento de los usuarios”, ha asegurado Puig. El uso de este sistema se desestimó, según el antiguo titular de Interior.

Sobre el proyecto de crear una Agencia Nacional de Seguridad de Catalunya, ha asegurado que el documento que se ha filtrado con los logotipos del Cesicat y del CTTI, es real, “pero no lo elaboró ​​el Govern, no se ha elevado a ningún organismo del Gobierno y no se le ha dedicado ninguna partida, era un ejercicio interno”, dijo.

Vulnerabilidad de los sistemas de la Generalitat

Sobre la vulnerabilidad de los sistemas de la Generalitat que denunció un antiguo colaborador del Cesicat, con miles de contraseñas en disposición de piratas informáticos, Puig ha asegurado que el Cesicat detectó la vulnerabilidad, que podía afectar al menos 3.000 credenciales de Generalitat –que daban acceso a diferentes servicios, como las nóminas o historiales médicos–, y tomó las medidas para corregirlo. No obstante, el experto informático que lo denuncia asegura que muchas credenciales siguen siendo accesibles.

El conseller d'Empresa i Ocupació Felip Puig ha comparegut aquest divendres a la Comissió d'Empresa i Ocupació del Parlament per donar explicacions sobre les diverses polèmiques que envolten el Centre de Seguretat de la Informació de Catalunya (Cesicat). Puig ha reconegut l'existència de diversos documents filtrats, però ha negat que el centre estigués duent a terme tasques d'espionatge.

Des que el passat octubre es van filtrar un seguit d'informes atribuïts al centre que mostraven el seguiment de l'activitat d'activistes a les xarxes socials la polèmica ha anat en augment. Noves informacions van apuntar a un projecte per espiar els telèfons mòbils d'alts càrrecs, a un pla per crear una Agència Nacional de Seguretat de Catalunya, que alguns mitjans han anomenat de “CNI català”, i una situació de greu vulnerabilitat dels sistemes de la Generalitat.

Puig ha iniciat la seva compareixença reivindicant la importància de les tasques de ciberseguretat, i ha atribuït a això el creixement del Cesicat, que va assumir tasques del Centre de Telecomunicacions i Tecnologies de la Informació de la Generalitat (CTTI) i va ampliar el seu pressupost fins als quatre milions d'euros. No obstant això, ha assegurat que “el Cesicat no ha intentat ser ni és un embrió d'un CNI”.

Admet el seguiment d'activistes

Tot i que inicialment totes les instàncies del Govern van negar la veracitat dels informes de seguiment d'activistes a les xarxes, Felip Puig canvia la versió dels fets i admet que els Mossos d'Esquadra van encarregar al Cesicat aquesta mena d'informes. Ha assegurat que el centre sempre ha col·laborat amb els Mossos i que només ha elaborat informes sota el seu encàrrec.

El conseller ha volgut remarcar que tota la investigació es fa amb fonts obertes, informació disponible per a qualsevol usuari. “Qualsevol de nosaltres podria fer aquests informes amb una certa dedicació, però el Cesicat disposava de les eines que permetien fer-ho amb rapidesa”, ha dit. No obstant, la legislació de protecció de dades prohibeix l'elaboració de fitxers amb dades personals de caràcter ideològic.

Puig ha insistit en que aquestes informacions s'han treballat amb alta confidencialitat i només hi han tingut accés els càrrecs corresponents dels Mossos d'Esquadra, obviant la seva difusió per les xarxes socials.

Negació de l'espionatge

En relació a l'espionatge de telèfons mòbils, Puig ha explicat que s'han relacionat dos procediments. Per una banda, el Cesicat estudia el xifratge dels telèfons mòbils d'alts càrrecs. Per l'altra, va elaborar un informe sobre l'ús de Cerverus, programari que serveix per accedir remotament a telèfons mòbils i fer ús de la càmera, micròfon o arxius.

El conseller ha explicat que l'informe es va fer a petició dels Mossos d'Esquadra i assegura que pel seu ús intern. “L'objectiu de Cerverus era donar suport a policies en les seves funcions en operacions d'alt risc i no s'implanta sense coneixement d'usuaris”, ha assegurat Puig. L'ús d'aquest sistema es va desestimar, segons l'antic titular d'Interior.

Sobre el projecte de crear una Agència Nacional de Seguretat de Catalunya, ha assegurat que el document que s'ha filtrat amb els logotips del Cesicat i del CTTI, és real, “però no el va elaborar al Govern, no s'ha elevat a cap organisme del Govern i no s'hi ha dedicat cap partida, era un exercici intern”, ha dit.

Vulnerabilitat dels sistemes de la Generalitat

Sobre la vulnerabilitat dels sistemes de la Generalitat que va denunciar un antic col·laborador del Cesicat, amb milers de contrassenyes en disposició de pirates informàtics, Puig ha assegurat que el Cesicat va detectar la vulnerabilitat, que podia afectar com a mínim 3.000 credencials de la Generalitat –que donaven accés a diferents serveis, com les nòmines o historials mèdics–, i va prendre les mesures per corregir-ho. No obstant, l'expert informàtic que ho denuncia assegura que moltes credencials segueixen sent accessibles.

El director general de los Mossos d'Esquadra, Manel Prat, estaría directamente implicado en el seguimiento de activistas en la red, según aparece en los correos que un experto en seguridad informática que trabajó para el Centro de Seguridad de la Información de Catalunya (Cesicat) ha hecho llegar a varios medios, grupos parlamentarios y altos cargos de la Generalitat. Los correos que implican a Prat, y que ahora pone a disposición de la fiscalía y de los partidos políticos para probar su autenticidad, los recibía de Carles Flamerich, presidente del Cesicat hasta que se destapó la polémica.

En uno de los correos el director de los Mossos adjunta un documento en el que marca en negrita las cuentas de Twitter sobre las que debía centrarse la actividad del Cesicat, a partir de una lista que habría sido elaborada por la comisaría General de Investigación Criminal. Las cuentas señaladas en febrero de 2012 eran las de los periodistas de La Directa Jesús Rodríguez y Manu Simarro, los activistas Pau Llonch, Yashira Riu y Esther Vivas, y las cuentas colectivas de los Iaioflautas y de la Asamblea del barrio de Gracia.

En un documento que se ha retirado de la web del Cesicat en el que se detallaban las prescripciones técnicas de las licitaciones se pueden encontrar alusiones a “servicios que se invocarán ante hechos político-sociales destacables, que por su magnitud, se considera que hay que monitorizar, para poder levantar alertas para que los clientes de este servicio puedan anticiparse y aplicar medidas mitigadoras antes de que los hechos puedan suceder”.

El mismo documento también habla de pruebas de seguridad consistentes en actuar como un atacante para tomar el control de dispositivos móviles, ordenadores o redes. Es una táctica habitual en el ámbito de la seguridad informática para poner a prueba los propios sistemas. No obstante, las mismas técnicas se pueden utilizar de manera ofensiva y podrían estar relacionadas con informaciones publicadas por El Confidencial según las cuales el gobierno habría instalado software espía en teléfonos móviles.

El director general dels Mossos d'Esquadra, Manel Prat, estaria directament implicat en el seguiment d'activistes a la xarxa, segons es pot veure en correus que un expert en seguretat informàtica que va treballar per al Centre de Seguretat de la Informació de Catalunya (Cesicat) ha fet arribar a diversos mitjans, grups parlamentaris i alts càrrecs de la Generalitat. Els correus que impliquen Prat, i que ara posa a disposició de la fiscalia i dels partits polítics per provar-ne l'autenticitat, els rebia de Carles Flamerich, president del Cesicat fins que es va destapar la polèmica.

En un dels correus el director del Mossos hauria adjuntat un document en el que marca en negreta els comptes de Twitter sobre els que s'havia de centrar l'activitat del Cesicat, a partir d'una llista que hauria estat el·laborada per la Comissaria General d'Investigació Criminal. Els comptes assenyalats al febrer de 2012 eren els dels periodistes de La Directa Jesús Rodríguez i Manu Simarro, dels activistes Pau Llonch, Yashira Riu i Esther Vivas, i els comptes col·lectius dels Iaioflautas i de l'Assemblea del barri de Gràcia.

En un document que s'ha retirat de la web del Cesicat en el que es detallaven les prescripcions tècniques de les licitacions s'hi poden trobar al·lusions a “serveis que s'invocaran davant de fets político-socials destacables, que per la seva magnitud, es considera que cal monitorar, per tal de poder aixecar alertes perquè els clients d'aquest servei puguin anticipar-se i aplicar mesures mitigadores abans que els fets puguin succeir”.

El mateix document també parla de proves de seguretat consistents en actuar com un atacant per prendre el control de dispositius mòbils, ordinadors o xarxes. És una tàctica habitual en l'àmbit de la seguretat informàtica per posar a prova els propis sistemes. No obstant, les mateixes tècniques es poden fer servir de manera ofensiva i podrien estar relacionades amb informacions publicades per El Confidencial segons les quals el govern hauria instal·lat programari espia en telèfons mòbils.

El Parlament vota hoy la comparecencia de los consellers de Interior y de Empresa, después de que ayer CiU y ERC vetaran la comparecencia del portavoz del Govern.

Un mes y medio después de que las filtraciones que revelaban seguimiento de activistas en la red por parte del Centro de Seguridad de la Información de Catalunya (Cesicat) las principales incógnitas siguen sin respuesta.

Un mes y medio después de las primeras filtraciones de Anonymous que revelaban el seguimiento de activistas en la red por parte del Centro de Seguridad de la Información de Catalunya (Cesicat), el Govern sigue sin dar ninguna explicación satisfactoria sobre el caso. Ayer CiU y ERC vetaron la comparecencia en el Parlamento del portavoz, Francesc Homs, y hoy se votará la comparecencia de los consejeros directamente implicados en el caso, el conseller de Interior, Ramon Espadaler, y el de Empresa y Empleo, Felip Puig, así como del Director General de Telecomunicaciones, Jordi Puigneró.

El PSC ha llevado el caso a la Fiscalía a la espera de que actúe ante los indicios de violación de derechos de los ciudadanos que representan las filtraciones. El resto del arco parlamentario (ICV-EUiA, la CUP y C's) también ha reclamado explicaciones al Govern con preguntas parlamentarias, solicitudes de comparecencia y el PP ha llegado a proponer la creación de una comisión parlamentaria de investigación.

Hasta ahora, el Govern se ha limitado a negar la veracidad de las filtraciones, aunque los metadatos de algunos de los archivos muestran que fueron creados por trabajadores del Cesicat. Los últimos documentos filtrados mostraron que los informes de seguimiento de activistas estaban elaborados conjuntamente con los Mossos.

Felip Puig –titular del departamento del que depende el Cesicat– confirmó que el organismo actúa “en coordinación con la policía del país” y bajo los criterios de ésta. No obstante, la ley prohíbe elaborar ficheros con datos de carácter ideológico si no hay orden de un juez.

Quintuplica el presupuesto en medio a la polémica

La única consecuencia hasta ahora del caso Cesicat ha sido la destitución de Carles Flamerich, presidente de la sectorial TIC de Convergencia y hasta entonces Director General de Telecomunicaciones de la Generalitat y presidente del Cesicat. Su sucesor aseguró que le habían ofrecido el cargo al día siguiente de las primeras filtraciones. No obstante, desde la conselleria aseguraron que se trataba de un reajuste del equipo. Según diversas fuentes, Puig no simpatizaba con Flamerich y sólo lo había mantenido en el cargo hasta ese momento por presiones del partido.

Mientras tanto, los últimos presupuestos de la Generalitat quintuplican el presupuesto del Cesicat, que pasa de 924.429 euros a 4,9 millones. Puig justificó el aumento en el Parlament asegurando que el gobierno del Tripartit, que creó el centro, no lo dotó de suficientes recursos.

Un proyecto de Agencia Nacional de Seguridad

Los documentos filtrados incluyen dos presentaciones que muestran el proyecto de crear una Agencia Nacional de Seguridad que englobe el Cesicat, el Centro de Telecomunicaciones y Tecnologías de la Información, la Agencia Catalana de Certificación, la Agencia Catalana de Protección de Datos y la Administración Abierta de Catalunya.

La presentación incluye una hoja de ruta para la implantación del proyecto y compara su presupuesto con el de agencias de inteligencia internacionales. Entre los pasos a seguir, se hace constar la necesidad de entrar en contacto con los servicios de inteligencia de Israel a través de la Ertzaintza y con el Massachussetts Advanced Ciber Security Center.

Presunto espionaje de correos y teléfonos

Un colaborador del Cesicat denunció que había detectado que los correos que enviaba a altos cargos de la Generalitat eran interceptados por trabajadores del centro. El juez ha desestimado la denuncia en base a las investigaciones de los Mossos –aunque el denunciante pedía que se encargara otro cuerpo de policía-ya que considera “lógico” que las comunicaciones dirigidas a los más altos cargos sean leídas por terceros. El denunciante recurrirá la sentencia.

Por otra parte, diversas informaciones publicadas por El Confidencial aseguran que la Generalitat habría repartido móviles con software espía entre altos cargos y habría planeado interceptar también las comunicaciones de activistas. Ante una pregunta al respecto en el Parlament, el conseller Felip Puig se limitó a menospreciar las informaciones que provenían de “confidenciales en la red” sin dar respuesta a la pregunta.

Seguimiento de activistas

Algunos activistas barceloneses ya tuvieron un primer encuentro con el Cesicat cuando durante la pasada campaña electoral salió en defensa del partido del Gobierno y reclamó la retirada de una web de parodia, pero no se imaginaban el trabajo de seguimiento de sus actividades que estaba haciendo el centro.

Según los informes filtrados, el Cesicat y los Mossos monitoriaron sus actividades en las redes con motivo de movilizaciones relevantes como el 1 de mayo, el aniversario del 15-M, la cumbre del BCE en Barcelona, la campaña contra Eurovegas, las movilizaciones en Reus durante el congreso de Convergencia o el lanzamiento de la web de delación creada por los Mossos.

Estos operativo incluían informes detallados sobre personas o colectivos, como el fotógrafo Jordi Borràs, un grupo de música adolescente o la organización juvenil Arran y uno de sus militantes. Este último colectivo ha denunciado esta semana el Cesicat ante la Agencia Catalana de Protección de Datos. En un comunicado aseguran que “quien se beneficia de las injusticias del sistema, que condena la juventud trabajadora a la precariedad, al exilio y a la miseria, es el mismo que presiona para que las instituciones públicas invierten los recursos policiales, judiciales y de comunicación en combatir nuestra apuesta política.”

El Parlament vota avui la compareixença dels consellers d'Interior i d'Empresa, després que ahir CiU ERC vetessin la compareixença del portaveu del Govern.

Un mes i mig després que les filtracions que revelaven seguiment d'activistes a la xarxa per part del Centre de Seguretat de la Informació de Catalunya (Cesicat) les principals incògnites segueixen sense resposta.

Un mes i mig després de les primeres filtracions d'Anonymous que revelaven el seguiment d'activistes a la xarxa per part del Centre de Seguretat de la Informació de Catalunya (Cesicat), el govern segueix sense donar cap explicació satisfactòria sobre el cas. Ahir CiU i ERC van vetar la compareixença al Parlament del portaveu del Govern, Francesc Homs, i avui es votarà la compareixença dels consellers directament implicats en el cas, el conseller d'Interior, Ramon Espadaler, i el d'Empresa i Ocupació, Felip Puig, així com del Director General de Telecomunicacions, Jordi Puigneró.

El PSC ha portat el cas a la Fiscalia a l'espera que actuï davant els indicis de violació de drets dels ciutadans que representen les filtracions. La resta de l'arc parlamentari (ICV-EUiA, la CUP i C's) també ha reclamat explicacions al govern amb preguntes parlamentàries, sol·licituds de compareixença i el PP ha arribat a proposar la creació d'una comissió parlamentària d'investigació.

Fins ara, el Govern s'ha limitat a negar la veracitat de les filtracions, tot i que les metadades d'alguns dels arxius mostren que van ser creats per treballadors del Cesicat. Els darrers documents filtrats van mostrar que els informes de seguiment d'activistes estaven el·laborats conjuntament amb els Mossos d'Esquadra.

Felip Puig –titular del departament del qual depèn el Cesicat– va confirmar que l'organisme actua “en coordinació amb la policia del país” i sota els criteris d'aquesta. No obstant, la llei prohibeix el·laborar fitxers amb dades de caràcter ideològic si no hi ha ordre d'un jutge.

Quintuplica el pressupost enmig a la polèmica

L'única conseqüència fins ara del cas Cesicat ha estat la destitució de Carles Flamerich, president de la sectorial TIC de Convergència i fins llavors Director General de Telecomunicacions de la Generalitat i president del Cesicat. El seu successor va assegurar que li havien ofert el càrrec l'endemà de les primeres filtracions. No obstant, des de la conselleria van assegurar que es tractava d'un reajustament de l'equip. Segons diverses fonts, Puig no simpatitzava amb Flamerich i només l'havia mantingut en el càrrec fins aquell moment per pressions del partit.

Mentrestant, els darrers pressupostos de la Generalitat quintupliquen el pressupost del Cesicat, que passa de 924.429 euros a 4,9 milions. Puig va justificar l'augment al Parlament assegurant que el govern del Tripartit, que va crear el centre, no el va dotar de prous recursos.

Un projecte d'Agència Nacional de Seguretat

Els documents filtrats inclouen dues presentacions que mostren el projecte de crear una Agència Nacional de Seguretat que englobi el Cesicat, el Centre de Telecomunicacions i Tecnologies de la Informació, l'Agència Catalana de Certificació, l'Agència Catalana de Protecció de Dades i l'Administració Oberta de Catalunya.

La presentació inclou un full de ruta per la implantació del projecte i compara el seu pressupost amb el d'agències d'intel·ligència internacionals. Entre els passos a seguir, es fa constar la necessitat d'entrar en contacte amb els serveis d'intel·ligència d'Israel a través de l'Ertzaintza i amb el Massachussetts Advanced Ciber Security Center.

Presumpte espionatge de correus i telèfons

Un col·laborador del Cesicat va denunciar que havia detectat que els correus que enviava a alts càrrecs de la Generalitat eren interceptats per treballadors del centre. El jutge ha desestimat la denúncia en base a les investigacions dels Mossos d'Esquadra –tot i que el denunciant demanava que se n'encarregués un altre cos de policia– i al fet que considera “lògic” que les comunicacions dirigides als més alts càrrecs siguin llegides per tercers. El denunciant recorrerà la sentència.

Per altra banda, diverses informacions publicades per El Confidencial asseguren que la Generalitat hauria repartit mòbils amb programari espia entre alts càrrecs i hauria planejat interceptar també les comunicacions d'activistes. Davant una pregunta al respecte al Parlament, el conseller Felip Puig es va limitar a menystenir les informacions que provenien de “confidencials a la xarxa” sense donar-hi resposta.

Seguiment d'activistes

Alguns activistes barcelonins ja van tenir una primera trobada amb el Cesicat quan durant la passada campanya electoral va sortir en defensa del partit del Govern i va reclamar la retirada d'una web de paròdia, però no s'imaginaven la feina de seguiment de les seves activitats que estava fent el centre.

Segons els informes filtrats, el Cesicat i els Mossos monitoraven les seves activitats a les xarxes amb motiu de mobilitzacions rellevants com l'1 de maig, l'aniversari del 15-M, la cimera del BCE a Barcelona, la campanya contra Eurovegas, les mobilitzacions a Reus durant el congrés de Convergència o el llançament de la web de delació creada pels Mossos.

Aquests operatiu incloïen informes detallats sobre persones o col·lectius, com el fotògraf Jordi Borràs, un grup de música adolescent o l'organització juvenil Arran i un dels seus militants. Aquest darrer col·lectiu ha denunciat aquesta setmana el Cesicat davant l'Agència Catalana de Protecció de Dades. En un comunicat asseguren que “qui es beneficia de les injustícies dels sistema, qui condemna el jovent treballador a la precarietat, a l’exili i a la misèria, és el mateix que pressiona perquè les institucions públiques inverteixen els recursos policials, judicials i de comunicació a combatre la nostra aposta política.”

Nous documents filtrats per Anonymous sobre el Centre de Seguretat de la Informació de Catalunya (Cesicat) mostren com els informes de monitoratge d'activistes a les xarxes socials que van sortir a la llum a finals d'octubre els va elaborar aquest organisme conjuntament amb el Cos de Mossos d'Esquadra. Aquesta filtració revela com en el procediment de seguiment d'aquests activistes hi ha un contatce constant entre el Cesicat i els Mossos, fins al punt que la propia policia podia encarregar informes sobre perfils o publicacions que consideressin destacabñes, com és el cas del perfil del fotògraf Jordi Borràs.

Els documents recullen, a més a més, quins serien els responsables del seguiment a activistes que es va dur a terme el 2012 en relació a l'1 de maig, la Cimera del Banc Central Europeu a Barcelona i l'aniversari del 15-M. Per part del Cesicat, els encarregats van ser el seu director, Tomàs Roy; el gerent, Josep Verdura, i els tècnics Carles Fragoso i Xavier Panadero, el nom dels quals ja apareixia en els primers informes filtrats. Per part dels Mossos, els responsables van ser els executius Miquel Bertran i Fran Galera.

De fet, ahir mateix, Felip Puig, conseller d'Empresa i Ocupació -departament del qual depèn el Cesicat-, va confirmar que l'organisme actua “en coordinació amb la policia del país” i sota els criteris d'aquesta. Ho va explicar en seu parlamentària a preguntes del diputat Ferran Pedret (PSC). No obstant això, i en la mateixa línia que ha mantingut el Govern fins ara, no va confirmar ni desmentir l'autoria dels informes i ni tan sols que s'hagi instal·lat programari espia en telèfons mòbils d'alts càrrecs o ciutadans, com assegura El Confidencial. Pedret explica que el seu partit està recollint tota la informació disponible per presentar-la a fiscalia.

L'objectiu dels informes, segons queda recollit, és la “identificació primerenca d'amenaces tal com crides o convocatòries de protesta”, el “seguiment d'activitat i impacte de les comunicacions realitzades a les xarxes socials” i la “investigació específica d'informació publicada o persones d'interès”.

Investigacions a Arran i al Casal Tramuntana

Les noves filtracions mostren també que el Cesicat hauria fet informes sobre altres col·lectius. En una presentació firmada per Carles Fragoso on s'explica com monitorar activitat a la xarxa apareixen com a exemples un seguiment del Casal Tramuntana, vinculat a l'extrema dreta, i, sobretot, a l'organització juvenil Arran, des del moment en que es va fundar. Els informes inclouen dades personals i diverses fotografies d'Adrià Fontcuberta, el militant d'Arran que va registrar el domini de la web del col·lectiu.

El conseller Felip Puig ha nombrado hoy Jordi Puigneró en sustitución de Carles Flamerich, ambos de Convergència, como Director General de Telecomunicaciones, cargo asociado a la presidencia del Cesicat.

El Govern de la Generalitat ha nombrado este martes a un nuevo Director General de Telecomunicaciones y Sociedad de la Información, Jordi Puigneró, que sustituirá en el cargo a Carles Flamerich, presidente de la Sectorial TIC de Convergencia (CDC). El cese de Flamerich se da en medio de la polémica de las filtraciones de documentos atribuidos al Cesicat, órgano que presidía como Director General.

Desde el Departamento de Economía y Empresa de la Generalitat, del que depende el Cesicat, explican que se trata de un reajuste del equipo. Según un portavoz del departamento, el consejero Felip Puig trabaja en la renovación de su equipo desde que asumió esta cartera, ahora hace casi un año, y que “ha hecho el cambio cuando ha encontrado la persona adecuada”. Aseguran que ya hace semanas que se tomó esta decisión y niegan que esté relacionada con el Cesicat.

El nuevo Director General, según avanzaba esta mañana Cugat.cat a falta de confirmaciones oficiales, será Jordi Puigneró, hasta ahora teniente de alcalde de Gobernación, Seguridad, Movilidad y Tecnología de Sant Cugat. Puigneró fue presidente de CDC de Sant Cugat hasta el 2012. Según el portal TOT Sant Cugat, el consejero ofreció el cargo al nuevo director general el pasado 28 de octubre, al día siguiente de las primeras filtraciones atribuidas a Cesicat.

El conseller Felip Puig ha nomenat avui Jordi Puigneró en substitució de Carles Flamerich com a Director General de Telecomunicacions, càrrec associat a la presidència del Cesicat.

El Govern ha nomenat avui un nou Director General de Telecomunicacions i Societat de la Informació, que substitueix en el càrrec a Carles Flamerich, President de la Sectorial TIC de Convergència. El cessament de Flamerich es dóna enmig de la polèmica de les filtracions de documents atribuïts al Cesicat, òrgan que presidia com a Director General.

Des del Departament d'Economia i Empresa expliquen que es tracta d'un reajustament de l'equip. Segons un portaveu del departament, el conseller Felip Puig treballa en la renovació del seu equip des que va assumir aquesta cartera i que “ha fet el canvi quan ha trobat la persona adient”. Asseguren que ja fa setmanes que es va prendre aquesta decisió i neguen que estigui relacionada amb el Cesicat.

El nou Director General, segons avançava aquest matí Cugat.cat a falta de confirmacions oficials, serà Jordi Puigneró, fins ara tinent d'alcalde de Governació, Seguretat, Mobilitat i Tecnologia de Sant Cugat. Puigneró va ser president de CDC de Sant Cugat fins el 2012. Segons el portal TOT Sant Cugat, el conseller va oferir el càrrec al nou director general el passat 28 d'octubre, l'endemà de les primeres filtracions atribuïdes a Cesicat.

Un consultor externo que trabajó para el Centro de Seguridad de la Información de Catalunya (Cesicat) presentó el pasado julio una denuncia penal contra los responsables del organismo, a los que acusa de interceptar sus comunicaciones personales con altos cargos de la Generalitat –los consellers Felip Puig y Ramon Espadaler– y con otra trabajadora de la administración. En estos correos, el experto en seguridad informática, que prefiere mantenerse en el anonimato, denunciaba la situación de alta inseguridad que había detectado en la Generalitat como un hecho grave al que había que dar respuesta.

Según explica, se trataba de una botnet que habría permitido a “ciber-criminales” capturar más de 2.000 credenciales de la Generalitat de Catalunya con las que podrían acceder a sus recursos y aplicaciones, comprometer datos personales, suplantar identidades o incluso “realizar ciertos ataques contundentes ”, dice. En términos prácticos, esto implicaría que quien tuviera acceso a estos datos podría, por ejemplo, modificar el historial médico o un registro de ayuda económica de un ciudadano. Sin embargo, desde el Cesicat insisten que, a pesar de la acusación, las redes de la Generalitat son seguras y no ha habido ninguna intrusión.

La falta de respuesta a la denuncia interna en Cesicat, le llevó a apelar a los responsables políticos para denunciar “la inseguridad y malversación” al conseller de Empresa y Empleo Felip Puig, a altos cargos de Convergencia y, finalmente, a los diferentes grupos parlamentarios. A pesar de la gravedad de la inseguridad denunciada, la única formación que mostró interés por su denuncia fue la CUP.

Intervención de correos electrónicos

En este proceso detectó que los correos que enviaba a trabajadores y altos cargos de la Generalitat eran interceptados en diferentes ocasiones, según mostrarían las pruebas que aporta con la denuncia, por Xavier Panadero, trabajador del Cesicat, por Carles Flamerich, director general de Telecomunicaciones y Sociedad de la Información de la Generalitat y máximo responsable del organismo, y por una dirección de correo creada con este propósito. Desde el Cesicat, explican que están pendientes de si el juez decide o no abrir este caso para pronunciarse al respecto, pero admiten que el denunciante era un colaborador de la institución.

En caso de que se probaran estos hechos, se trataría de un delito contra la intimidad, como recoge el artículo 197 del Código Penal, por el que se contemplan penas de prisión de hasta cuatro años. Las pruebas se habrían conseguido, según explica la denuncia, se consiguieron mediante un sencillo procedimiento. El remitente envió los correos solicitando notificación que se habían recibido y, contra lo que sería de esperar, recibió confirmaciones de direcciones a las que no había dirigido los mensajes.

El denunciante señala la gravedad de estos hechos y explica que el procedimiento que se habría aplicado para interceptar sus correos, de probarse, se podría dar con cualquier comunicación que pase por los servidores de correo de la Generalitat. Por ello, en la denuncia pide que una investigación policial determine si se trata de una práctica generalizada en los sistemas de la Generalitat. Añade, además, que debería correr a cargo de la Policía Nacional y la Guardia Civil, y no de los Mossos d'Esquadra.

Ante estos hechos, el consultor presentó una solicitud a la Autoridad Catalana de Protección de Datos para ejercer el derecho de acceso a sus datos personales que estuvieran tratados por la Generalitat, pero denuncia que no obtuvo respuesta en el plazo de un mes que marca la ley, ni tampoco la ha recibido posteriormente.

Adjudicaciones a empresas cercanas a Convergencia

En declaraciones a Catalunya Plural, este experto en seguridad informática asegura que “nunca habrá seguridad si los proveedores y el personal se evalúan en base a relaciones más allá de lo profesional, como parece ser el caso de Incita Security”. Incita Security (antes llamada TB Security, la empresa que habría el elaborado los informes de seguimiento de activistas atribuidos al CESICAT) tiene como responsable territorial de ventas a Marc Lapuente, que según esta fuente sería miembro del secretariado de la sectorial TIC de Convergencia.

El Cesicat ha otorgado este año el contrato de servicio derivado del Acuerdo Marco de Servicios TIC a Incita Security y PricewaterhouseCoopers, cuya creciente relación con la Generalitat desde el cambio de gobierno se señalaba en el último anuario Mèdia.cat. La adjudicación ha sido por un valor de un millón y medio de euros en el caso de la primera y 2,7 millones en el caso de la segunda.

El grupo Incita ha protagonizado recientemente un importante conflicto laboral y ha cerrado todas las empresas menos Incita Security. El administrador de todas las empresas del grupo es Gorka Jiménez, que fue galardonado empresario del año 2011 y ahora afronta el cierre de sus empresas con deudas con administraciones públicas y con los trabajadores, que plegaron en agosto tras cuatro meses sin cobrar.

Un consultor extern que va treballar per al Centre de Seguretat de la Informació de Catalunya (Cesicat) va presentar el passat juliol una denúncia penal contra els responsables de l'organisme, als quals acusa d'interceptar les seves comunicacions personals amb alts càrrecs de la Generalitat –els consellers Felip Puig i Ramon Espadaler– i amb una altra treballadora de l'administració. En aquests correus, l'expert en seguretat informàtica, que prefereix mantenir-se en l'anonimat, denunciava la situació d'alta inseguretat que havia detectat a la Generalitat com un fet greu al qual calia donar resposta.

Segons explica, es tractava d'una botnet que hauria permès a “ciber-criminals” capturar més de 2.000 credencials de la Generalitat de Catalunya amb les quals podrien accedir als seus recursos i aplicatius, comprometre dades personals, suplantar identitats o fins i tot “realitzar certs atacs contundents”, diu. En termes pràctics, això implicaria que qui tingués accés a aquestes dades podria, per exemple, modificar l'historial mèdic o un registre d'ajut econòmic d'un ciutadà. No obstant, des del Cesicat insisteixen que, a pesar d'aquesta acusació, les xarxes de la Generalitat són segures i no hi ha hagut cap intrusió.

La manca de resposta a la denúncia interna al Cesicat, el va portar a apel·lar als responsables polítics per denunciar “la inseguretat i malversació” al conseller d'Empresa i Ocupació Felip Puig, a alts càrrecs de CDC i, finalment, als diferents grups parlamentaris. A pesar de la gravetat de la inseguretat denunciada, l'única formació que va mostrar interès per la seva denúncia va ser la CUP.

Intervenció de correus electrònics

En aquest procés va detectar que els correus que enviava a treballadors i alts càrrecs de la Generalitat eren interceptats en diferents ocasions, segons mostrarien les proves que aporta amb la denúncia, per Xavier Panadero, treballador del Cesicat, per Carles Flamerich, director general de Telecomunicacions i Societat de la Informació de la Generalitat i màxim responsable de l'organisme, i per una adreça de correu creada amb aquest propòsit. Des del Cesicat, expliquen que estan pendents de si el jutge decideix o no obrir aquest cas per pronunciar-se al respecte, però admeten que el denunciant era un col·laborador de la institució.

En cas que es provessin aquests fets, es tractaria d'un delicte contra la intimitat, com recull l'article 197 del Codi Penal, pel qual es contemplen penes de presó de fins a quatre anys. Les proves aportades s'haurien aconseguit, segons explica la denúncia, mitjançant un senzill procediment. El remitent va enviar els correus sol·licitant notificació que s'havien rebut i, contra el que seria d'esperar, va rebre confirmacions d'adreces a les quals no havia dirigit els missatges.

El denunciant remarca la gravetat d'aquests fets i explica que el procediment que s'hauria aplicat per interceptar els seus correus, de provar-se, es podria donar amb qualsevol comunicació que passi pels servidors de correu de la Generalitat. Per això, en la denúncia demana que una investigació policial determini si es tracta d'una pràctica generalitzada en els sistemes de la Generalitat. Afegeix, a més, que hauria de córrer a càrrec de la Policia Nacional i la Guardia Civil, i no dels Mossos d'Esquadra.

Davant d'aquests fets, el consultor va presentar una sol·licitud a l'Autoritat Catalana de Protecció de Dades per exercir el dret d'accés a les seves dades personals que estiguessin tractades per la Generalitat, però denuncia que no va obtenir resposta en el termini d'un mes que marca la llei, ni tampoc l'ha rebut posteriorment.

Adjudicacions a empreses properes a Convergència

En declaracions a Catalunya Plural, aquest expert en seguretat informàtica assegura que “mai no hi haurà seguretat si els proveïdors i el personal s’avaluen en base a relacions més enllà d'allò professional, com sembla ser el cas d'Incita Security”. Incita Security (abans anomenada TB Security, l'empresa que hauria el·laborat els informes de seguiment d'activistes atribuïts al Cesicat) té com a responsable territorial de vendes Marc Lapuente, que segons aquesta font seria membre del secretariado de la sectorial TIC de Convergència.

El Cesicat ha atorgat enguany el contracte de servei derivat de l'Acord Marc de Serveis TIC a Incita Security i a Pricewaterhouse Coopers, la creixent relació de la qual amb la Generalitat des del canvi de govern s'assenyalava al darrer anuari Mèdia.cat. L'adjudicació ha estat per un valor de un milió i mig d'euros en el cas de la primera i 2,7 milions en el cas de la segona.

El grup Incita ha protagonitzat recentment un important conflicte laboral i ha tancat totes les empreses menys Incita Security. L'administrador de totes les empreses del grup és Gorka Jiménez, que va ser guardonat empresari de l'any 2011 i ara afronta el tancament de les seves empreses amb deutes amb administracions públiques i amb els treballadors, que van plegar a l'agost després de quatre mesos sense cobrar.

Segueixen apareixent en comptagotes filtracions de documents atribuïts al Centre de Seguretat de la Informació de Catalunya (Cesicat) en els quals es monitoritza activitat d'activistes en xarxes socials. Mentre els documents fins ara se centraven en usuaris rellevants a Twitter, l'últim informe de sis pàgines està dedicat al grup de rapcore Jamància, amb poc més de cent seguidors a la xarxa social. A la seva pàgina, el grup de joves es defineix així: “Som i serem un grup reivindicatiu, explícit i directe”.

L'informe, que inclou els números de telèfon i les pàgines personals a Facebook de membres del grup, apunta a “possibles relacions” amb les organitzacions juvenils JERC (les joventuts d'Esquerra), CAJEI (ara Arran) i la Plataforma de Joves de Gràcia. La base per establir aquestes relacions són cartells de concerts organitzats per aquests col·lectius en els quals ha tocat el grup.

La investigació està motivada per tweets identificats “durant l'operatiu 12M-15M” que, segons recull el text, “parlen de possibles atemptats dirigits a l'edifici de La Caixa”. El missatge que motiva l'informe diu “Maria Cristina, arribem a les dos torres de LaCaixa, deixem el paquet, marxem lluny, esperem uns minuts i BUUUUUM :P”.

Els membres del grup, que expliquen que la formació ja s'ha dissolt, aclareixen que el missatge no es tractava d'un missatge “seriós”, sinó que feia al·lusió a cançons del grup i a l'aniversari del moviment 15-M. Tot i estar al corrent del cas Cesicat, desconeixien l'última filtració on apareixien les seves dades personals. Els joves remarquen, a més a més, que eren menors d'edat quan es va fer aquest informe.

Siguen apareciendo en cuentagotas filtraciones de documentos atribuidos al Centro de Seguridad de la Información de Catalunya (Cesicat) en los que se monitoriza actividad de activistas en redes sociales. Mientras los documentos hasta ahora se centraban en usuarios relevantes en Twitter, el último informe de seis páginas está dedicado al grupo de rapcore Jamància, con poco más de cien seguidores en la red social. En su página, el grupo de jóvenes se define así: “Somos y seremos un grupo reivindicativo, explícito y directo”.

El informe, que incluye los números de teléfono y las páginas personales en Facebook de miembros del grupo, apunta a “posibles relaciones” con las organizaciones juveniles JERC (las juventudes de Esquerra), CAJEI (ahora Arran) y la Plataforma de Joves de Gràcia. La base para establecer estas relaciones son carteles de conciertos organizados por estos colectivos en los que ha tocado el grupo.

La investigación viene motivada por tweets identificados “durante el operativo 12M15M” que, según recoge el texto, “hablan de posibles atentados dirigidos al edificio de La Caixa”. El mensaje que motiva el informe reza “Maria Cristina, llegamos a las dos torres de La Caixa, dejamos el paquete, nos vamos lejos, esperamos unos minutos y BUUUUUM :P”.

Los miembros del grupo, que explican que la formación ya se ha disuelto, aclaran que el mensaje no se trataba de un mensaje “serio”, sino que hacía alusión a canciones del grupo y al aniversario del movimiento 15-M. A pesar de estar al corriente del caso Cesicat, desconocían la última filtración donde aparecían sus datos personales. Los jóvenes remarcan, además, que eran menores de edad cuando se hizo este informe.