El hackeo al Concello de Cangas deriva en una denuncia por prevaricación administrativa y coacciones

El Concello de Cangas do Morrazo fue víctima de un ciberataque de ransomware que paralizó gran parte de su actividad administrativa. El incidente ocurrió en la madrugada del 18 de mayo de 2023, cuando un virus informático conocido como LockBit 3.0 se infiltró en el sistema a través de un correo electrónico falso abierto por un funcionario. Al encender los ordenadores esa mañana, apareció una pantalla negra con un mensaje en inglés anunciando el ataque y solicitando un rescate para recuperar la información.

El virus encriptó rápidamente los datos de los discos duros, afectando a la mitad de los ordenadores del Concello. Las áreas más impactadas fueron contabilidad, intervención, tesorería y Alcaldía, lo que impidió el pago de nóminas a los empleados municipales, así como otras gestiones como pagos a proveedores y programas de becas. El ataque también destruyó miles de archivos y copias de seguridad, causando una importante disrupción en las operaciones diarias del ayuntamiento.

Tras detectar el ataque, el Concello siguió el protocolo establecido, notificando a las autoridades competentes. El Ayuntamiento dijo que se negó a interactuar con los atacantes o pagar el rescate solicitado. Ahora bien, sí pagó a una empresa especializada en contrarrestar estos ataques  y, según se deduce del proceso judicial abierto, no lo hizo de forma regular.

La Fiscalía de Pontevedra ha remitido al juzgado el caso del ataque informático al Concello de Cangas al detectar posibles indicios de prevaricación administrativa, malversación de fondos públicos, daños informáticos y coacciones tanto por el ataque como por la posterior gestión del incidente. El proceso se centra en la negociación y el pago realizado a la empresa Evelb para la recuperación de los datos comprometidos, adelanta Faro de Vigo.

La administración local decidió contratar los servicios de la empresa Evelb, que fue seleccionada sin un proceso de contratación abierto, lo que ha generado sospechas de posibles irregularidades. Este pago de 197.843 euros se justificó como una medida urgente para restaurar el funcionamiento de los sistemas.

Según figura en el registro mercantil, Evelb es una empresa informática de Ames de tamaño medio con varias décadas de experiencia. Entre sus servicios, está la consultoría y un “ Plan de continuidad de negocio personalizado que te ayude a recuperar la actividad en caso de sufrir algún ataque”..

En respuesta a estas acusaciones, desde el Concello se defiende la urgencia de la decisión para garantizar la continuidad de los servicios públicos, considerando la complejidad de recuperar los datos tras el ataque. No obstante, la Fiscalía insiste en que la administración local tenía la obligación de realizar una contratación transparente y ajustada a la ley, incluso en situaciones de emergencia.

¿Cómo  es el proceso de contratación de emergencia en el derecho administrativo español?

El proceso de contratación de emergencia en el derecho administrativo español es un procedimiento excepcional y simplificado para la contratación de obras, servicios o suministros que son necesarios para hacer frente a situaciones urgentes e imprevisibles. Este proceso está regulado por la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LCSP), que establece las pautas a seguir en casos de emergencia para agilizar la contratación pública.

Características del Proceso de Contratación de Emergencia

1. Supuestos de Aplicación: La contratación de emergencia se aplica cuando se produce una situación de urgencia extrema, como desastres naturales (inundaciones, incendios, terremotos), crisis sanitarias (epidemias, pandemias), situaciones de riesgo para la seguridad de las personas o bienes, o cualquier otro evento que requiera una respuesta inmediata para evitar daños mayores. La situación debe ser imprevisible y no puede atenderse mediante otros procedimientos de contratación.
2. Procedimiento Simplificado: La contratación de emergencia permite a la Administración omitir los trámites ordinarios establecidos en la LCSP, lo que facilita una respuesta rápida y efectiva. Esto significa que no se requiere la licitación pública previa ni el cumplimiento de muchos de los requisitos formales del procedimiento ordinario.
3. Adjudicación Directa: La Administración puede adjudicar directamente los contratos a la empresa o proveedor que considere más adecuado para hacer frente a la emergencia, sin necesidad de un concurso público. Se trata de un procedimiento excepcional y la Administración tiene libertad para elegir al contratista, basándose en la idoneidad de este para dar respuesta a la situación.

Procedimiento de Contratación de Emergencia

1. Declaración de Emergencia: La decisión de contratar de forma urgente debe ser adoptada por el órgano de contratación competente, previa declaración de la situación de emergencia. Esto implica justificar por qué la situación requiere una actuación inmediata y por qué no es posible utilizar los procedimientos ordinarios de contratación.
2. Contratación de la Ejecución Inmediata: Una vez declarada la emergencia, el órgano de contratación puede disponer inmediatamente lo necesario para atenderla. Puede ordenar la ejecución de obras, la prestación de servicios, o la adquisición de suministros indispensables sin necesidad de tramitar los procedimientos formales de licitación.
3. Documentación y Formalización Posterior: Aunque el proceso de adjudicación es más rápido, la Administración sigue estando obligada a documentar las actuaciones realizadas. Esto incluye la resolución que declare la emergencia, la justificación de la necesidad de contratar de manera urgente, y los detalles de la adjudicación. Posteriormente, se debe formalizar el contrato por escrito, aunque en este caso la formalización puede hacerse de forma posterior a la ejecución de las prestaciones contratadas.
4. Publicidad Posterior: La Ley de Contratos del Sector Público establece que, aunque la contratación de emergencia no requiere de una publicidad previa, sí es obligatorio que se publique el resultado de la adjudicación con posterioridad, a fin de garantizar la transparencia en el proceso. La publicación debe incluir la información sobre el contratista seleccionado, el objeto del contrato, y su importe.

Límites y Control en la Contratación de Emergencia

1. Proporcionalidad y Necesidad: Las actuaciones llevadas a cabo deben ser proporcionales a la situación de emergencia y limitarse a lo estrictamente necesario para atenderla. Esto implica que la Administración debe justificar que los medios empleados son los adecuados para la situación concreta.

Control y Fiscalización: Dado que la contratación de emergencia es un procedimiento excepcional, está sujeta a un control posterior por parte de los órganos de fiscalización (como el Tribunal de Cuentas). Se revisa que las actuaciones se hayan ajustado a la situación de emergencia y que se hayan respetado los principios de eficacia, eficiencia y economía en la gestión de recursos públicos.