Un interno ha accedido a los sistemas informáticos de la Generalitat desde su propia celda. El sindicato CSIF Prisiones ha confirmado el caso a COPE y ha elevado la alerta sobre una brecha que alcanza, al menos, la red del sistema penitenciario catalán, el Servei Públic d’Ocupació de Catalunya y la Junta Electoral Central.
La intrusión se detectó durante el último fin de semana, según ha explicado Alberto Gómez, portavoz de CSIF Prisiones, en una entrevista radiofónica con COPE. Los profesionales de guardia observaron accesos repetitivos y anómalos desde terminales situados dentro de un módulo penitenciario. En las pesquisas iniciales se ha identificado a dos internos, uno de ellos sin condenas previas por delitos informáticos, que habría aprovechado sus conocimientos técnicos para saltarse el cortafuegos de la administración autonómica.
El punto de entrada más llamativo lo han puesto las pantallas instaladas tras la pandemia para las videoconferencias familiares. ‘Desde estas pantallas, desde donde hacían las conferencias con los familiares, también pudieron entrar’, ha aseverado el portavoz sindical. A esos dispositivos se suman los ordenadores de las aulas de informática, lo que evidencia que la red corporativa quedó expuesta desde dentro del propio centro penitenciario.
La investigación judicial y policial trata de determinar si se produjo extracción de datos o si existe riesgo de comercialización en el mercado negro. Según la información facilitada por el sindicato, la intrusión no se limitó al ámbito penitenciario: la penetración alcanzó las intranets del Servei Públic d’Ocupació de Catalunya (SOC) y llegó hasta la Junta Electoral Central. Esa ramificación es la que más preocupa a los funcionarios y empleados públicos autonómicos, porque los datos expuestos no pertenecen solo al entorno de prisiones.
Cómo dos internos llegaron hasta la Junta Electoral Central
El origen del acceso apunta a una combinación de equipos accesibles y protocolos de segmentación insuficientes. Los dos internos implicados habrían utilizado tanto los ordenadores de las aulas de informática como las pantallas de videoconferencia familiar. CSIF Prisiones sostiene que la red corporativa de la Generalitat quedó comprometida sin necesidad de extraer información de forma inmediata: bastaba con permanecer dentro y moverse lateralmente por las intranets.
La reacción institucional ha sido inmediata en lo operativo. Tras descubrirse la maniobra, se realizaron cacheos en las celdas y se incautaron seis ordenadores del módulo, que ya están a disposición de la autoridad judicial. La Agència Catalana de Ciberseguretat ha abierto un análisis exhaustivo para determinar cuánto tiempo llevaban los internos operando y qué sistemas pudieron quedar comprometidos en ese intervalo.
El dato más incómodo no es que un interno supiera por dónde entrar, sino que la administración no lo detectara antes.
La responsabilidad de la empresa proveedora y el silencio estival
CSIF Prisiones ha puesto el foco en TAT Systems, la firma concesionaria encargada del suministro y mantenimiento de los sistemas informáticos de la administración autonómica. ‘Tienen que asumir responsabilidades esta empresa, que es la que nos provee nuestra seguridad a todos los trabajadores’, ha defendido Alberto Gómez. El sindicato considera que la Direcció General d’Afers Penitenciaris ha actuado con diligencia, pero exige a la proveedora que responda por no haber detectado a tiempo las vulnerabilidades.
El alcance político del caso va más allá de la seguridad penitenciaria. La Generalitat ha hecho de la digitalización de los servicios públicos una de las banderas de esta legislatura. Que dos reclusos hayan podido comprometer redes gubernamentales de alto nivel desde una celda cuestiona la solidez de esa agenda. Además, el sindicato denuncia que la repercusión mediática ha sido mínima en pleno agosto, en comparación con otros incidentes como el ciberataque al Hospital Clínic.
Un precedente que la Generalitat no puede ignorar
El ciberataque al Hospital Clínic de Barcelona, en 2023, sigue siendo la referencia más dolorosa para la ciberseguridad catalana. Aquel episodio obligó a derivar pacientes y cirugías. Este caso es distinto en origen y naturaleza: no lo ha provocado un grupo criminal externo, sino el propio perímetro de confianza de la administración. La diferencia es relevante. Un ataque exterior puede combatirse con cortafuegos y protocolos; una brecha interior solo se neutraliza con control de accesos, segmentación de redes y auditoría continua.
La lectura política es otra. El Govern necesita demostrar que la Generalitat puede gestionar la seguridad de sus propios datos y de los ciudadanos. Si la investigación confirma que TAT Systems acumuló fallos de seguimiento, se abrirá un debate sobre los contratos públicos de mantenimiento tecnológico, y, no siempre se auditan los accesos con la periodicidad necesaria. La administración catalana externaliza gran parte de su infraestructura digital y la cuestión de a quién se le encarga la custodia de los datos públicos debería ocupar la agenda del Parlament a partir de septiembre.
Este caso acaba de empezar. Hay una causa judicial abierta, un análisis forense en marcha y un sindicato que ha decidido elevar la presión pública. Las próximas semanas mostrarán si la Generalitat asume el coste político de explicar qué datos pudieron quedar expuestos y si el Parlament convierte el episodio en una comisión de investigación o lo entierra en el arranque del nuevo curso político.
