Hackeos y vulneración de servidores públicos, ¿otra muestra de la ineficacia del gobierno en ciberseguridad?

El pasado 26 de enero, la Oficina de Acreditación de Prensa de la presidencia vio cómo vulneran su ciberseguridad, pues filtraron los datos de al menos 300 periodistas que asisten a la cobertura de las conferencias mañaneras del presidente Andrés Manuel López Obrador. La filtración de estos datos, y otros que se han dado en el sexenio, deja vulnerables a los ciudadanos titulares de los mismos.

La información filtrada en un sitio de internet incluye identificaciones personales, RFC, correos electrónicos, pasaportes, números telefónicos, fotografías y domicilios detallados, datos que ponen en riesgo la integridad de los comunicadores en un país donde los periodistas son constantemente atacados y asesinados.

Algunos periodistas afectados se han pronunciado sobre el riesgo que esto conlleva para ellos o su círculo más cercano; sin embargo, desde la vocería oficial del gobierno, a cargo de Jesús Ramírez Cuevas, no se ha dado algún pronunciamiento para explicar cómo fueron sustraídos estos datos que son requeridos para ingresar a las mañaneras, o qué se hará al respecto para revertir la situación y garantizar la seguridad de los comunicadores afectados.

Aunque la página en la que se dio la filtración fue dada de baja, no se sabe cuánto tiempo estuvo disponible, quiénes accedieron a esta información tan sensible y si hoy está almacenada en otras bases de datos, ya que se podía descargar con facilidad. De acuerdo con la organización “Artículo 19”, esto vulnera la seguridad y la dignidad de los periodistas, pero también su integridad física.

Ya que el gobierno resguarda este tipo de información, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), ha instado a la federación a dar respuesta sobre cómo se dio el robo de información, además de que puso un plazo no mayor a 72 horas para que esclarezca el asunto, a fin de que los afectado puedan poner una denuncia.

De no hacerlo, será el propio INAI quien inicie una investigación para determinar cómo se filtró la información, pues al final el gobierno es garante de datos personales y, en caso de no dar una respuesta favorable, se impondrá una sanción económica. El gobierno también está obligado a dar parte a cada una de las personas sobre la vulneración de sus datos.

Otros casos de hackeo en el sexenio

Aunque este caso llama la atención por la naturaleza de los datos y las personas que resultan afectadas, no ha sido el primer caso de hackeo en años recientes. Uno de los casos más recientes es el que sufrió la Secretaría de la Defensa Nacional (SEDENA) en septiembre del 2022, a manos de los hacktivistas del grupo internacional llamado “Guacamaya”.

Dicho ataque a los servidores de la SEDENA se dio a conocer por el periodista Carlos Loret de Mola, y en total fueron sustraídos más de seis terabytes con documentos comprometedores de la secretaría. Entre las revelaciones mostradas, se exhiben estrategias de seguridad, seguimiento dado a civiles por parte de las fuerzas armadas, así como información relevante del estado de salud de AMLO y los operativos de seguridad en torno al mandatario.

Otra institución que fue vulnerada el mismo año es la Secretaría de Infraestructura, Comunicaciones y Transportes (SICT), que en noviembre del 2022 anunció una suspensión de sus actividades para atender sus protocolos de ciberseguridad, ya que se percataron de que eran víctimas de un ataque a sus servidores. Además del paro de sus actividades, informaron que pondrían una denuncia por los actos.

Poco se supo de los efectos que esto tuvo y los documentos que les robaron, pues lo único que se dio a conocer es que el 10 % de las computadoras estuvieron secuestradas, aunque tampoco se informó cuánto tiempo. Todas tenían contenido sensible relacionado a proyectos de infraestructura federal, lo que lo hace uno de los blancos más codiciados por los hackers.

Otra de las dependencias de gobierno más importantes que también fue usurpada fue Petróleos Mexicanos (Pemex), la empresa que en noviembre del 2019 también sufrió un ciberataque. Se anunció que a la paraestatal le robaron al menos 180,000 documentos relacionados a su funcionamiento, finanzas y proyectos, por lo que los ciberdelincuentes pidieron 4.9 millones de pesos como rescate.

Finalmente, en junio del 2021 otra institución atacada fue la Lotería Nacional, pues se informó que fueron atacados mediante “ransomware”, un programa que secuestra información para pedir dinero a cambio de su liberación, esto a manos de un grupo de ciberdelincuentes llamado “Avaddon”. Dicho grupo tuvo en su poder documentos relacionados a las finanzas de la institución, contratos y convenios de colaboración celebrados entre 2009 y 2021.

El papel del INAI en casos de hackeo

De acuerdo con la Ley Federal de Protección de Datos Personales en Posesión de Sujetos Obligados, se deben establecer medidas de seguridad para garantizar la integridad, disponibilidad y confidencialidad de la información, que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado.

Ese es precisamente uno de los objetivos del INAI, instituto que pretende desaparecer el presidente, ser el órgano que garantice el cumplimiento de la ley en materia de protección de datos, tanto para los sujetos obligados como para los entes privados. De igual forma, es su facultad investigar y sancionar las posibles violaciones en la tenencia de datos, así como la orientación a las personas afectadas por estas vulneraciones.

El robo de datos personales es una amenaza para las personas o instituciones cuya información fue sustraída, pues da pie a ilícitos como la suplantación de identidad y el robo de posiciones. Es un problema que puede afectar a todos, desde personas físicas, hasta empresas y, por su puesto, gobiernos.