Los secretos que el Gobierno de México oculta sobre sus vulnerabilidades cibernéticas. Parte II
Mientras redactaba este capítulo, algunos medios y analistas reportaron dos presuntos ataques masivos contra sistemas gubernamentales. Aunque la información disponible aún no se ha confirmado, los indicios apuntan a filtraciones relevantes.
Dirección General de Servicios Ciudadanos de la Presidencia de la República.
La filtración habría expuesto datos contenidos en solicitudes ciudadanas: descripción del asunto, número de oficio, estatus de respuesta, dependencia destinataria, así como información personal de los peticionarios; nombre completo, domicilio, teléfono y correo electrónico. Si estos reportes se confirman, miles de ciudadanos podrían haber quedado expuestos. En mi caso, ingresé una petición hace un mes; es posible que mis datos ya estén circulando en la dark web.
Sistema de Acceso a la Información Mexiquense (SAIMEX).
SAIMEX es la plataforma del Estado de México para solicitar información pública y presentar recursos de revisión. Su diseño busca ser seguro y accesible; sin embargo, los reportes sobre el incidente indican que la accesibilidad terminó favoreciendo a los atacantes. Los datos comprometidos incluirían información que identifica plenamente a los usuarios: nombre, domicilio, teléfono y correo electrónico.
Expuesto lo anterior, retomemos la revisión de los archivos expuestos durante el sexenio en el que los ataques cibernéticos contra el gobierno mexicano se multiplicaron.
Desde 2019, diversas dependencias federales, estatales y municipales han sido vulneradas. La cifra exacta sigue siendo incierta, pero va en crecimiento. Los incidentes documentados muestran un patrón: los datos personales de millones de mexicanos circulan en foros clandestinos, mientras, el gobierno reduce el presupuesto en tecnologías de la información y seguridad cibernética y minimiza la gravedad de los ataques. Así las cosas: la austeridad, la falta de planeación, la ineptitud administrativa, decisiones cuestionables y, en algunos casos, una aparente complicidad criminal de servidores públicos, dejaron al Estado mexicano expuesto a los ataques de ciberdelincuentes.
El desgobierno digital
En noviembre de 2019, Petróleos Mexicanos (PEMEX) detectó un ataque de ransomware, un tipo de software malicioso que bloquea archivos o dispositivos hasta que la víctima paga un rescate. Los atacantes exigieron aproximadamente 5 millones de dólares (565 bitcoins) para liberar los sistemas. Fue un ataque masivo. Los archivos sustraídos incluían listas de más de 186 mil equipos de cómputo en oficinas centrales, refinerías (Salina Cruz, Minatitlán, Salamanca y Tula), terminales de almacenamiento (Mexicali y Puebla) y unidades médicas en Veracruz y Campeche. También se filtraron diagramas de red y arquitectura interna de los sistemas de la empresa.
PEMEX afirmó que operaba con normalidad y que sus sistemas de producción estaban “blindados”. La entonces secretaria de Energía, Rocío Nahle, hoy gobernadora del Estado de Veracruz, declaró que la empresa no pagaría el rescate. Sin embargo, reportes internos y periodísticos señalaron que alrededor de 11 mil computadoras quedaron inutilizadas. El ataque evidenció la fragilidad de la infraestructura digital de la paraestatal y marcó un precedente para incidentes posteriores.
La vulnerabilidad se vuelve sistémica
En enero de 2020, la Secretaría de Economía suspendió trámites y plazos administrativos tras detectar un ataque en sus servidores. Aunque oficialmente se aseguró que no hubo afectación a información sensible, el mensaje era inquietante: los ataques ya no eran aislados.
En julio del mismo año, un colectivo anarquista, conocido por su máscara blanca, intervino el sitio web de la Comisión para la Protección y Defensa de los Usuarios de Servicios Financieros (CONDUSEF), dejando un mensaje de protesta. La dependencia minimizó el incidente afirmando que solo se había modificado el archivo index.html y que no había información comprometida. Unos días antes, el mismo grupo había vulnerado el sitio web del Consejo Nacional para Prevenir la Discriminación (CONAPRED). Las vulnerabilidades ya eran sistemáticas, el esquema mostraba que las dependencias federales carecían de defensas.
Para mayo de 2021, la Lotería Nacional (LOTENAL) sufrió otro ataque de ransomware. Un grupo de origen extranjero secuestró información y dio 240 horas para pagar el rescate. LOTENAL se sumó así a la lista de instituciones afectadas.
Ese mismo año, el Servicio de Administración Tributaria (SAT) lanzó CitaSAT, una plataforma para programar citas de manera “inmediata”. Desde su primer día fue objeto de ataques que afectaron su operación. El SAT ya había sido vulnerado en años anteriores, este incidente evidenció nuevamente la fragilidad de sus sistemas, que resguardan información fiscal de millones de contribuyentes.
La responsable de la deficiente seguridad digital
Diversos análisis señalan que la política de austeridad republicana del gobierno federal en el sexenio pasado tuvo efectos directos en la capacidad de respuesta ante incidentes cibernéticos. El gasto en informática se redujo drásticamente, las dependencias que fueron hackeadas estaban operando con el 35% del presupuesto para ciberseguridad. En 2022, además, se registró un subejercicio todavía más severo en este rubro. Mientras los ataques crecían, el Estado reducía su capacidad de defensa.
El golpe de Estado digital
La magnitud de los incidentes, la exposición de datos sensibles y la incapacidad institucional para responder plantean una pregunta inevitable: Si esto no constituye una forma de agresión grave contra la soberanía digital del país, ¿qué lo sería?
La historia aún no termina. Continuará…
Aly Corany Abdallah
Analista, socialdemócrata y librepensador.
Licenciado en Derecho, Licenciado en Gestión y Desarrollo Empresarial, y TSU en Comercialización Inmobiliaria. Actualmente, cursa la Maestría en Derecho Digital y Juicios en Línea. Su enfoque multidisciplinario le permite analizar la realidad política y geopolítica desde una perspectiva integral.
Las opiniones expresadas por los columnistas en la sección Plumas, así como los comentarios de los lectores, son responsabilidad de quien los expresa y no reflejan, necesariamente, la opinión de esta casa editorial.
