¿Por qué un ciberataque paralizó el registro de propiedad de Rumanía?

Rumanía lleva más de una semana con buena parte de su mercado inmobiliario atrapado en una pantalla en negro. Un ciberataque contra la Agencia Nacional de Catastro y Publicidad Inmobiliaria, conocida por sus siglas ANCPI, inutilizó el 14 de julio la plataforma e-Terra, el sistema digital que permite consultar fincas, acreditar propietarios, inscribir compraventas y registrar hipotecas. Sin esos datos disponibles, notarios, abogados, bancos y particulares han quedado, en la práctica, con las manos atadas.

La versión más estridente sostiene que el atacante exigió dinero y, al no recibirlo, borró la base de datos del registro de la propiedad. Hay indicios y testimonios técnicos que apuntan a la eliminación de sistemas internos, pero conviene separar el incendio del humo: el Gobierno rumano asegura que la información jurídica y catastral esencial no ha desaparecido, que existen copias de seguridad en varias ubicaciones y que no se ha probado el robo masivo de títulos de propiedad. Lo confirmado, y no es poco, es que el corazón informático del catastro dejó de latir.

Rumanía descubre que sus escrituras también podían caer

La ANCPI calificó lo ocurrido como la interrupción técnica más grave de su historia. El ataque afectó a la infraestructura informática central, a las cuentas de correo institucionales y a las aplicaciones utilizadas tanto por los empleados públicos como por profesionales externos. e-Terra no era una página de consulta ornamental, de esas que uno abre una vez cada tres años para descargar un formulario imposible. Era una pieza estructural.

En ese sistema descansan los datos que permiten comprobar quién posee un inmueble, dónde terminan los límites de una parcela, qué cargas pesan sobre una vivienda o si existe una hipoteca inscrita. Cuando e-Terra cayó, no desaparecieron físicamente las casas ni cambiaron de dueño los terrenos. Desapareció algo más sutil y, durante unas horas, casi igual de importante: la capacidad del Estado para certificar jurídicamente esa propiedad.

La diferencia parece académica hasta que alguien intenta vender un piso. Sin el extracto oficial del registro, el notario no puede verificar con garantías la titularidad ni autenticar la operación; el banco tampoco puede inscribir una nueva hipoteca y una solicitud ya presentada queda suspendida en una especie de sala de espera digital. Ladrillos hay. Seguridad jurídica, bastante menos.

Qué ocurrió dentro del sistema e-Terra

La intrusión se detectó el 14 de julio. En un primer momento, la institución habló de un gran incidente técnico, una expresión administrativa tan elástica que puede servir para una impresora atascada o para el naufragio de una red nacional. Un día después reconoció que se trataba de un ataque informático.

Según Dan Cîmpean, director de la Dirección Nacional de Ciberseguridad de Rumanía, los atacantes habrían aprovechado vulnerabilidades de software conocidas y credenciales que ya habían quedado expuestas con anterioridad. Su diagnóstico fue particularmente incómodo para la Administración: no habría sido una operación extraordinariamente compleja y podría haberse evitado con mejores medidas preventivas.

Los sistemas afectados fueron aislados para impedir que la intrusión informática siguiera avanzando. Eso explica parte de la prolongada indisponibilidad. En una recuperación de este tipo no basta con encender servidores, introducir una contraseña nueva y esperar que salga el sol. Hay que reinstalar aplicaciones, revisar cada componente, comprobar que no quedan accesos ocultos y verificar la integridad de los datos antes de permitir otra vez la entrada de miles de usuarios.

La ANCPI ha comenzado a trasladar sus aplicaciones a la nube gubernamental rumana. La migración estaba prevista hasta el 22 de julio y, después, los organismos competentes debían revisar los sistemas y elaborar un informe técnico. A 21 de julio seguía sin existir una fecha pública para la restauración completa de todos los servicios.

ByteToBreach, la extorsión y el presunto borrado

Un actor que utiliza el alias ByteToBreach se atribuyó el ataque en un foro clandestino. Aseguró haber penetrado en la red de la ANCPI, obtenido datos internos y copiado servidores GitLab con código fuente de e-Terra y de otras aplicaciones. También anunció la utilización de ransomware y ofreció parte del material supuestamente sustraído.

Varias informaciones publicadas después sostienen que el atacante trató de extorsionar a la agencia y que, al no conseguir el pago, eliminó la base de datos principal y parte de las copias conectadas a la red. Una copia fuera de línea habría permitido iniciar la reconstrucción. Es la imagen que ha recorrido internet: un delincuente pulsa una tecla, borra la propiedad de todo un país y se marcha satisfecho, como un villano con poca imaginación y demasiado acceso.

La realidad es algo menos cinematográfica. Las autoridades rumanas no han confirmado públicamente todos los detalles de esa supuesta negociación ni que la totalidad del registro fuese eliminada de forma irreversible. Sí admiten que están restaurando los datos y reconstruyendo la infraestructura, mientras que la ANCPI insiste en que almacenaba copias de seguridad en varios emplazamientos. El atacante pudo destruir entornos operativos y dejar el servicio inutilizable sin haber borrado para siempre la información legal que determina quién es dueño de cada inmueble. Son cosas distintas. Ambas graves.

Lo confirmado y lo que permanece bajo investigación

Hasta el momento no existen pruebas oficiales de que se hayan robado masivamente certificados catastrales, escrituras o datos personales de propietarios. Los investigadores sí consideran posible la extracción de una cantidad limitada de información, entre ella credenciales de usuarios y código fuente de aplicaciones. La oferta publicada por ByteToBreach en la red oscura tampoco constituye, por sí sola, una auditoría forense: los ciberdelincuentes exageran, mezclan archivos recientes con bases antiguas y venden varias veces el mismo botín. El marketing, por desgracia, también llegó al crimen organizado.

La empresa israelí de inteligencia KELA ha relacionado la identidad digital ByteToBreach con un presunto ciberdelincuente radicado en Orán, Argelia. Las autoridades rumanas no han validado públicamente esa identificación, por lo que conviene tratarla como una atribución privada, no como una conclusión judicial.

Tampoco se ha determinado todavía el alcance definitivo de los archivos expuestos. El ministro interino de Transformación Digital, Irineu Darău, ha reconocido que la ANCPI deberá explicar con claridad qué información se perdió o quedó comprometida cuando termine la recuperación. Esa frase importa: el Gobierno sostiene que los datos esenciales siguen a salvo, pero aún no ha cerrado la investigación.

Por qué el ataque congeló el mercado inmobiliario

Rumanía mantiene un sistema registral profundamente digitalizado. Esa modernización agilizó durante años trámites que antes exigían desplazamientos, sellos, carpetas y paciencia balcánica. Sin embargo, la eficiencia también concentró la dependencia. Cuando se apagó e-Terra, apenas quedaron mecanismos alternativos capaces de mantener el servicio nacional.

La compraventa de una vivienda necesita documentos registrales actualizados. El notario debe comprobar que el vendedor es realmente el propietario, que la finca coincide con la descripción aportada y que no existen embargos, litigios o cargas ocultas. Sin acceso al registro, firmar sería aceptar una versión jurídica del salto al vacío.

El golpe llegó, para rematar la faena, en un momento especialmente delicado. Rumanía prevé elevar desde el 1 de agosto el IVA aplicable a determinadas viviendas nuevas del 9 % al 21 %. Numerosos compradores y promotores trataban de completar las operaciones antes de que terminara julio. Una interrupción de varios días puede provocar retrasos, costes financieros y disputas sobre quién debe asumir una diferencia fiscal considerable.

El Gobierno estudia posibles soluciones legales para los compradores afectados, aunque no había anunciado todavía una medida concreta. El problema no consiste únicamente en contar cuántos contratos quedaron pendientes. También habrá que decidir qué sucede con las operaciones que no pudieron cerrarse dentro del plazo por culpa de un sistema estatal inaccesible. La informática falla; Hacienda, en cambio, suele conservar una salud admirable.

Un ataque que, según el Gobierno, pudo evitarse

El episodio ha abierto una discusión incómoda sobre la forma en que las administraciones digitalizan sus servicios. Invertir en plataformas visibles queda bien en las presentaciones: portales más rápidos, expedientes electrónicos, formularios con colores amables. La ciberseguridad pública vive detrás del escenario. No corta cintas y rara vez aparece en la fotografía oficial.

La Dirección Nacional de Ciberseguridad afirma que había advertido previamente de vulnerabilidades relevantes. El propio ministro Darău ha señalado que la ANCPI podría haber trabajado mucho más en prevención y que los responsables de infraestructuras esenciales deben tomarse en serio los avisos técnicos. Traducido del dialecto ministerial: había grietas conocidas y no se sellaron a tiempo.

El atacante habría utilizado una combinación bastante terrenal: fallos sin corregir y credenciales válidas obtenidas o filtradas con anterioridad. Nada de superordenadores cuánticos escondidos en un volcán. Las brechas más dañinas suelen entrar por puertas corrientes: una actualización aplazada, una cuenta antigua, una copia de seguridad conectada al mismo entorno que pretende proteger.

La existencia de respaldos en distintas ubicaciones evitó, según la ANCPI, una pérdida definitiva de información. Pero una copia no resuelve por sí sola el problema. Debe estar aislada, actualizada, probada y acompañada de un procedimiento de recuperación que permita reanudar el servicio en un plazo razonable. Una copia que tarda semanas en volver a funcionar es un salvavidas, sí, aunque guardado en el maletero mientras el barco se hunde.

Qué riesgos existen para propietarios y compradores

Los propietarios rumanos no han perdido automáticamente sus casas por el ataque. Los derechos inscritos continúan existiendo y la ANCPI afirma que conserva los registros técnicos y jurídicos fundamentales. Nadie debería interpretar la caída de e-Terra como una barra libre para falsificar titularidades o apropiarse de terrenos.

El riesgo inmediato es operativo: retrasos en ventas, hipotecas, herencias, divisiones de parcelas y certificaciones registrales. Después aparece el riesgo informático. Si se confirma la filtración de credenciales, documentos internos o código fuente, esos materiales podrían servir para preparar nuevos ataques, suplantar usuarios o buscar vulnerabilidades adicionales en las aplicaciones reconstruidas.

Las personas que hayan utilizado la plataforma deberán prestar atención a comunicaciones sospechosas, especialmente mensajes que simulen proceder de notarios, bancos o de la propia agencia. Los atacantes conocen el contexto y suelen explotarlo: un correo que promete desbloquear una escritura o descargar un certificado pendiente resulta más creíble cuando todo el país sabe que el sistema está caído.

Por ahora no hay constancia oficial de una exposición generalizada de datos personales de ciudadanos. La prudencia exige evitar tanto el alarmismo como la candidez. No se ha probado que los expedientes privados estén circulando íntegramente por internet; tampoco se ha completado aún el análisis forense.

El país que descubrió dónde guardaba sus llaves

El ataque contra el catastro rumano no borró las casas del mapa ni convirtió el país en una llanura sin propietarios. Hizo algo más revelador: mostró hasta qué punto una institución pública puede depender de una sola infraestructura digital y cómo una vulnerabilidad aparentemente técnica termina afectando a contratos, impuestos, bancos, familias y tribunales.

La digitalización prometía acabar con el papel, con las colas y con los archivadores grises. Lo consiguió. Luego llegó un atacante y recordó que los archivadores, al menos, no tenían contraseña.

Rumanía conserva copias de sus datos y trabaja para recuperar e-Terra, pero la normalidad no volverá cuando la plataforma muestre otra vez una pantalla de acceso. Volverá cuando el Estado determine qué se perdió, cómo entraron los atacantes y quién responde por las operaciones bloqueadas. Hasta entonces, el registro de la propiedad existe. Solo que lleva días detrás de una puerta que nadie se atreve todavía a abrir.