Sin INAI y con la Llave MX, ¿quién protegerá nuestros datos?

La casi inminente desaparición del INAI dejará sin protección los datos personales de los mexicanos. Este órgano autónomo garantizaba la transparencia y la protección de los datos personales de los mexicanos, pero con su extinción se ha anunciado que estas funciones quedarán a cargo de la Secretaría de la Función Pública, que forma parte del gobierno federal.

Este jueves, la presidenta Claudia Sheinbaum Pardo presentó el proceso de digitalización del gobierno federal, con el objetivo de simplificar la vida de las y los mexicanos, y evitar cualquier forma de corrupción que pueda haber en una ventanilla.

En la mañanera, anunció que la Agencia de Transformación Digital y Telecomunicaciones simplificará los trámites de la ciudadanía en diversos ámbitos federales a través de un proyecto llamado Llave MX, un modelo digital que ya se implementó hace unos meses en la Ciudad de México y que ya ha sido hackeado.

La plataforma Llave CDMX permite a los capitalinos llevar a cabo en un solo lugar más de 90 trámites en línea, como la renovación de la licencia de conducir, peticiones a Locatel, pagos a la tesorería, pagos a SACMEX, registro a programas sociales, entre otros.

El objetivo de la plataforma nacional Llave MX es conformar expedientes digitales para facilitar los trámites y evitar el uso innecesario de fotocopias, donde los usuarios deberán subir a la plataforma sus documentos oficiales, permitiendo que las instituciones que los requieran puedan hacer uso de ellos sin necesidad de que el usuario los presente en físico en cada dependencia.

En mayo de este año, surgió la noticia de que la Llave CDMX, que cuenta con 6.3 millones de usuarios y que contiene información como CURP, fecha de nacimiento, correo electrónico y teléfono celular, fue hackeada.

Eduardo Clark, director de la Agencia Digital de Innovación Pública de la Ciudad de México, confirmó una investigación sobre un supuesto hackeo a la plataforma después de que algunos usuarios reportaron la vulneración de sus credenciales. El funcionario capitalino mencionó en su momento que no había evidencia y que lo más probable era que alguien hubiera obtenido los datos personales de un pequeño número de individuos de forma ilegal.

Sin embargo, Publimetro México comprobó en una tarea periodística que las credenciales filtradas son funcionales y revelan información privada de usuarios de la Ciudad de México, mostrando todo su historial de descarga de documentos, incluidos fotocívicas, seguro de desempleo, constancias de antecedentes no penales y actas digitales del registro civil, entre muchos otros.

Víctor Ruiz, fundador de SILIKON, una start-up de ciberseguridad, detectó a través del monitoreo de redes sociales, así como de la deep web, dark web, foros clandestinos e incluso canales de mensajería cifrada como Telegram, que rondaba "por ahí" un archivo llamado example.txt con información de usuarios de la plataforma digital Llave CDMX. Al abrirlo, comprobó que incluía una columna donde aparecía la página web llave.cdmx.gob.mx, junto con un renglón donde se encontraba un usuario y una contraseña.

Con el fin de verificar si efectivamente los datos personales de los usuarios estaban expuestos, pudo confirmar que la información está accesible para grupos cibercriminales, lo que pone en riesgo a los habitantes de la Ciudad de México.

Expertos en el tema señalaron que el problema también se centra en que cualquier persona que tenga las contraseñas, ya compartidas en los grupos mencionados, puede acceder a datos personales del usuario, como nombre completo, CURP, correo electrónico, fecha de nacimiento y número de celular. Además, pueden descargar todos los documentos gestionados por el usuario en su cuenta personal.