Personal de la Agencia Federal de Investigaciones (FBI, en inglés) y de la Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA, en inglés) del Departamento de Seguridad Nacional participan de la pesquisa para identificar a los responsables del ciberataque, o “ransomware” este fin de semana al sistema Professional Account Management (PAM), operador privado que maneja AutoExpreso.

La investigación federal, además, es concurrente con análisis de agencias locales y del mismo operador privado.

“La compañía PAM está llevando a cabo la investigación en conjunto con la compañía matriz Naviem. La compañía Optiv (Security Inc.) se encuentra haciendo la investigación al análisis forense de este y de parte del Gobierno de Puerto Rico, Metropistas también está llevando consultores de GEM Sec, hay personas técnicas del FBI, Homeland Security y de DSP”, respondió el director ejecutivo de la ACT, Edwin González Montalvo, a preguntas de Primera Hora.

“Ciertamente, PRITS está haciendo su investigación paralela a la que hace la compañía PAM, pero hay unos recursos externos particulares que se unieron a la compañía para pericialmente ser parte de la investigación”, agregó la secretaria de la gobernación, Noelia García Bardales.

Pese de que la ACT y la Oficina de Puerto Rico Innovation and Technology Service (PRITS) reiteraron la colaboración de las agencias federales, el jefe del FBI en Puerto Rico, Joseph González, negó haber recibido querella o referido por el ciberataque. Del mismo modo, el secretario de Justicia, Domingo Emanuelli, también rechazó que su agencia había recibido querellas de esta índole.

Las expresiones de los jefes de ambas dependencias surgieron esta tarde tras salir de reunión con el gobernador Pedro Pierluisi.

Fue el sábado pasado que personal de PAM le notificó a la Autoridad de Carreteras y Transportación (ACT) que ocurrió “un evento” en el sistema de AutoExpreso, por lo que se paralizó para darle mantenimiento. Sin embargo, no fue hasta ayer, lunes, por la tarde que PAM confirmó que se trataba de un ciberataque.

Consecuentemente, la ACT informó a la PRITS de lo sucedido, y estos a su vez, alertaron a las autoridades federales.

“Desde el momento que se le notifica a PRITS, nosotros nos aseguramos de alertar a las autoridades, al FBI, a CISA…así como el Departamento de Seguridad Pública, para que supieran del incidente que nos había reportado la Autoridad de Carreteras”, comentó Nannette Martínez, directora ejecutiva interina de PRITS y principal ejecutiva de Innovación e Información del Gobierno, en conferencia de prensa.

Según explicó Martínez, un “ransomware” es “una modalidad de ciberseguridad donde hay una nota de secuestro donde los archivos se bloquean” hasta que se emite un pago monetario. Sin embargo, en este caso, aquellos responsables del ciberataque no solicitaron dinero.

“No se solicitó pago. Básicamente, esto es- como muchas otras modalidades de ‘ransomware’, lo que dice (la nota) es ‘comuníquense con nosotros’ y de ahí se comienzan negociaciones. Es política del Gobierno no emitir ningún pago. Así que, esa no fue la forma de proceder”, detalló la directora ejecutiva interina de PRITS.

“Nadie es inmune a los ataques cibernéticos, ningún gobierno, ninguna entidad, ninguna persona. El Gobierno de Puerto Rico no es la excepción. El Gobierno sí está más preparado que antes”, agregó.

Martínez explicó que uno de las políticas establecidas de PRITS es que los servidores hagan uso del sistema de nube para salvaguardar información de las agencias. No obstante, PAM no hizo uso de esta modalidad para cuando ocurrió el ataque cibernético.

“Una de las políticas que tenemos establecidas es el uso de los dominios y los servidores y sistemas en nube, eso lo publicamos mediante una Orden Administrativa, para asegurar el cumplimiento de las compañías, asegurarse de que utilizan los recursos ya contratados con el Gobierno, así como los servicios. Esto no estaba siendo utilizado (por PAM) y por eso sucedió lo que sucedió”, relató.

González Montalvo dijo, por su parte, que PAM llevaba a cabo una copia de seguridad de la información, o “backup”, del jueves cuando ocurrió el ciberataque el sábado.

Esta falta de uso de la nube fue descrita como “una deficiencia” de parte de PAM. Por lo tanto, Martínez aseguró que “se está trabajando con un RFQ (solicitud de calificaciones) donde se corrijan varios de los temas que sabemos que son deficiencias que tiene el sistema actual. En este caso, todos esos procesos tienen que acelerarse un poquito, porque sabemos la urgencia”.

“Llevamos desde el año pasado haciendo varias mejoras al sistema. En octubre del año pasado se sacó una solicitud de propuesta para cambiar toda la infraestructura de cámaras y todo eso. Esas propuestas se están analizándose para adjudicarla al mejor postor para que Puerto Rico tenga un sistema ‘world class’”, añadió González Montalvo.

El contrato de PAM está vigente desde el 2018. González Montalvo explicó a Primera Hora que la compañía fue contratada “para la transición hacia un operador nuevo, que es el compromiso que tenemos en esta administración, de traer un sistema, nuevo, robusto y confiable”.

La cantidad de dinero que el Gobierno ha incurrido en contratar a PAM fluctúa entre $17 millones a $20 millones al año, según González Montalvo, ya que se hacen “casi un millón de transacciones al día”. Este monto, sin embargo, no es costeado completamente por el gobierno, ya que Metropistas también sufraga fondos para la contratación de PAM.