Compras y proveedores del Estado

Un adversario que prepara una intrusión empieza por saber quién hace qué. En el sector público, buena parte de esa respuesta está publicada: el contratista que da soporte a los puestos, el que desarrolla el portal, el que paga los subsidios, con fechas y objeto. Con eso puede suplantar a un proveedor ante la oficina de pagos o atacar al contratista pequeño que tiene acceso a los sistemas.

La respuesta no es dejar de publicar: la transparencia de la contratación es una obligación y protege contra la corrupción. La respuesta es publicar lo necesario para ofertar y no más (los nombres de servidores internos, las versiones exactas y los diagramas de red no le hacen falta a quien presenta una oferta), y tratar como posible fraude todo cambio que pida un supuesto proveedor.

Abre la consola y ejecuta SELECT * FROM contratos_publicados. Cinco contratos, cinco anexos. Casi todos publican lo que un oferente necesita: perfiles, horarios, volúmenes, un calendario que ya es público. Uno publica lo que un atacante necesita para planear el siguiente paso.

Ejecuta SELECT * FROM registro_de_proveedores y SELECT * FROM solicitudes_de_cambio. El fraude al proveedor más común en el Estado es simple: alguien escribe a la oficina de pagos haciéndose pasar por un contratista y pide cambiar la cuenta donde se le paga. Funciona porque el nombre del contratista y las fechas de pago son públicos, y porque la urgencia hace saltarse la verificación.

La verificación correcta compara el remitente con el dominio registrado al firmar el contrato y confirma el cambio llamando a la línea registrada, nunca respondiendo al mismo correo que pide el cambio.

Ejecuta SELECT * FROM accesos_de_contratistas. Un contratista con acceso a un sistema de la entidad es parte de su superficie de ataque. Si su cuenta la comparten muchas personas, nadie puede saber quién hizo cada acción, y el abuso interno, como el que el perfil de la sala 1 marcó en el registro de beneficiarios, queda sin rastro individual.

No todas las cuentas compartidas pesan igual: importa a qué dan acceso. Una cuenta compartida sobre los puestos de trabajo es un riesgo; una cuenta compartida sobre los datos bancarios de los beneficiarios es el riesgo que este perfil ya marcó dos veces.

La solicitud que encontraste ya está marcada como «confirmado» porque alguien respondió al mismo correo. El pago de la comisión de ese contratista sale el 29 de enero. La oficina de pagos pregunta qué hacer con esta solicitud y con las que vengan.