El pasado 6 de mayo, la Agencia de Transformación Digital y Telecomunicaciones (ATDT) publicó en su cuenta oficial de X una invitación a la ciudadanía: votar por cinco proyectos del gobierno mexicano nominados a los WSIS Prizes 2026 de la Unión Internacional de Telecomunicaciones. "La tecnología también transforma vidas cuando se pone al servicio del pueblo", escribió la agencia. La imagen adjunta explicaba que el proceso "toma menos de 5 minutos".
Los cinco proyectos nominados son Nube MX, el Centro Público de Formación en IA, Llave MX, el Centro de Procesamiento de Imágenes Satelitales y el sistema de Acceso digital a servicios públicos en lenguas indígenas. Todos son presentados como emblemas de innovación pública. Lo que la ATDT no incluyó en su publicación es que varias de esas plataformas han sido señaladas por especialistas, incidentes reconocidos oficialmente o riesgos inherentes a su naturaleza estratégica.
"Las contraseñas pueden cambiarse. Los datos biométricos, no."
El caso más sensible: Llave MX
De los cinco proyectos, Llave MX es el que acumula mayor número de alertas públicas. Se trata del sistema de identidad digital del gobierno mexicano, diseñado para integrarse con mecanismos de validación biométrica y centralizar datos personales de millones de ciudadanos. Análisis publicados en medios como El País [1] e Infobae [2] durante 2025 advirtieron que esa concentración podría convertir a la plataforma en un objetivo prioritario para el crimen organizado y actores de espionaje.
El riesgo de fondo es una preocupación recurrente entre especialistas consultados por esos medios: a diferencia de una contraseña, los datos biométricos no pueden restablecerse. Una eventual filtración tendría consecuencias permanentes para cada ciudadano afectado. Adicionalmente, algunos expertos han advertido sobre riesgos de vigilancia masiva y perfilamiento ciudadano mediante la correlación de información entre sistemas gubernamentales.
Un agravante estructural señalado por Reforma [3]: Llave MX opera sin una ley integral nacional de ciberseguridad que establezca responsabilidades, plazos de notificación y sanciones en caso de brecha. La plataforma de identidad digital más ambiciosa del gobierno federal avanza sobre un marco normativo incompleto.
Nube MX y el incidente de enero
Nube MX forma parte de la estrategia de infraestructura digital gubernamental impulsada por la ATDT. Su naturaleza centralizada la convierte, en términos de exposición, en un punto de alto valor para potenciales intrusiones.
En enero de 2026, la propia ATDT reconoció públicamente un incidente de seguridad [4]: personas no autorizadas accedieron a sistemas gubernamentales mediante credenciales válidas comprometidas. La agencia aseguró que no hubo compromiso de infraestructura crítica ni filtración de datos sensibles. Sin embargo, los controles existentes no detectaron ni bloquearon a tiempo el uso indebido de esas credenciales. La pregunta pendiente es si existió monitoreo suficiente para determinar el alcance real del acceso.
El incidente no es aislado. Según registros citados por la consultora QMA [5], se detectaron cientos de vulnerabilidades en instituciones federales mexicanas entre 2022 y 2025. El ecosistema sobre el que opera Nube MX no es la excepción a ese patrón.
La ATDT reconoció accesos mediante credenciales comprometidas a sistemas gubernamentales. La pregunta pendiente es si existió monitoreo suficiente para determinar el alcance real del acceso.
Niveles de riesgo advertidos por plataforma
| Plataforma | Nivel estimado |
|---|---|
| Llave MX | Muy alto |
| Nube MX | Alto |
| Centro de Procesamiento de Imágenes Satelitales | Alto |
| Centro Público de Formación en IA | Medio |
| Acceso digital en lenguas indígenas | Medio |
Niveles estimados con base en alertas públicas, naturaleza estratégica de la infraestructura e incidentes reconocidos. No corresponden a vulnerabilidades técnicas confirmadas mediante CVEs ni a auditorías independientes publicadas.
El centro satelital: riesgo estratégico sin debate público
El Centro de Procesamiento de Imágenes Satelitales es el proyecto menos discutido públicamente y el que, por su naturaleza, podría representar mayor exposición en términos de espionaje. No existen vulnerabilidades técnicas documentadas públicamente contra esta plataforma específica. Sin embargo, los centros de procesamiento geoespacial son objetivos conocidos de grupos APT —actores de amenaza persistente avanzada— interesados en infraestructura estratégica, monitoreo territorial y análisis geoespacial.
Las librerías de procesamiento satelital y los pipelines analíticos basados en software de código abierto acumulan vulnerabilidades con regularidad. Sin que exista públicamente un programa conocido de divulgación de vulnerabilidades para esta plataforma, los riesgos permanecen invisibles hasta que se materializan.
La paradoja del reconocimiento
La nominación a los WSIS Prizes no es un dato menor: es un reconocimiento de la Unión Internacional de Telecomunicaciones a proyectos que contribuyen a los objetivos de la Sociedad de la Información. El gobierno mexicano tiene razón en destacar que estas plataformas representan un avance real en digitalización pública. La contradicción no está en los proyectos como tal, sino en pedirle a la ciudadanía que los vote sin informarla de los riesgos que implica usarlos.
Una campaña que invita a registrarse en plataformas gubernamentales, confirmar un correo y acceder a sistemas de autenticación centralizada —en el contexto de un ecosistema con incidentes reconocidos y advertencias de especialistas— no es solo una acción de relaciones públicas. Es, también, una invitación a que más ciudadanos depositen sus datos en infraestructura cuya seguridad no cuenta con auditorías públicas independientes conocidas.
La ATDT enfrenta un doble mandato difícil de conciliar: es la agencia que promueve la digitalización y, al mismo tiempo, la responsable de la ciberseguridad de esa misma infraestructura. Cuando ambas funciones coexisten bajo el mismo techo institucional, el incentivo por comunicar riesgos cede ante el incentivo por comunicar logros.
México construyó identidad digital nacional. Aún no tiene ley integral de ciberseguridad.
Lo que falta
Al cierre de esta nota, no existen CVEs públicos ni reportes técnicos independientes sobre vulnerabilidades explotadas directamente en estas cinco plataformas. Eso no significa que sean seguras: significa que no hay mecanismos públicos que lo verifiquen. En ciberseguridad, la ausencia de evidencia no es evidencia de ausencia.
Lo que sí existe es un incidente reconocido por la propia ATDT, cientos de vulnerabilidades detectadas en instituciones federales en los últimos tres años, advertencias de especialistas sobre la arquitectura de Llave MX, y un marco normativo incompleto que deja a los ciudadanos sin derechos claros de notificación en caso de brecha. Ese es el contexto en el que la agencia pide cinco minutos para votar.