Dimite la cúpula de la agencia vial de Letonia tras la filtración de datos de 1,2 millones de ciudadanos

El ciberataque a la Dirección de Seguridad del Tráfico de Letonia (CSDD) resultó mucho más extenso de lo que se pensaba al principio. Tras analizar la información robada, el organismo informó que los agresores obtuvieron datos de 1,2 millones de personas físicas y 200.000 organizaciones.

Los atacantes accedieron a los sistemas de CSDD entre el 8 y el 10 de agosto de 2026 y descargaron datos archivados de los recibos de pago de servicios, acumulados desde 2008. En los registros robados figuran nombres y apellidos, códigos personales de los ciudadanos, números de registro de empresas, importes y fechas de los pagos, matrículas y direcciones tal como constaban en el momento en que se prestó el servicio.

Los números de teléfono y las direcciones de correo electrónico de los clientes no se vieron afectados, y en algunas entradas los datos de las direcciones resultaron incompletos. Tampoco se robaron los nombres de usuario ni las contraseñas. El trabajo cotidiano de CSDD no se interrumpió; los servicios electrónicos y presenciales siguen funcionando con normalidad.

El ataque fue detenido con la colaboración del centro letón de respuesta a incidentes informáticos CERT.LV. Según CERT.LV, la ofensiva fue dirigida y requirió preparación previa. Los especialistas identificaron los métodos y canales de intrusión empleados por los atacantes, tras lo cual CSDD los bloqueó y reforzó la protección de los sistemas. Más tarde el organismo se enfrentó a otro ataque dirigido, que también pudo ser detenido.

Ahora se considera que la principal amenaza no es el acceso directo a los servicios estatales, sino el fraude que utiliza la información robada. Conociendo el nombre de una persona, su código personal, la dirección, la matrícula y los datos de un pago anterior, los delincuentes pueden crear cartas, mensajes y llamadas convincentes en nombre de CSDD, bancos y otras organizaciones.

Otro riesgo está relacionado con los códigos personales. En Letonia dicho código puede utilizarse como identificador al iniciar sesión mediante Smart-ID y eParaksts mobile. El código por sí solo no permite acceder a una cuenta; sin embargo, un atacante puede iniciar una solicitud de confirmación de inicio de sesión e intentar convencer al titular para que la apruebe. CERT.LV recomienda rechazar cualquier solicitud de confirmación de identidad que el usuario no haya iniciado personalmente.

CSDD también limitó la posibilidad de que usuarios no autorizados obtengan información sobre la marca y el modelo del vehículo a partir de la matrícula. La información sobre el incidente fue remitida a la Inspección Estatal de Datos y a las autoridades policiales. Cualquier persona puede dirigirse a CSDD y averiguar si la filtración afectó sus datos personales y qué información exactamente fue comprometida.