Ayer 26 de agosto fue uno de ellos.
En cuestión de horas aparecieron reportes sobre posibles filtraciones de datos de instituciones mexicanas, bases de información ofrecidas en canales clandestinos, nuevas vulnerabilidades en sistemas ampliamente utilizados, técnicas de ataque contra hardware y hasta una operación del FBI contra infraestructura vinculada con hackers chinos.
No todos los casos tienen la misma gravedad. Tampoco todos están confirmados al mismo nivel.
Pero juntos dejan una imagen que debería preocuparnos: la exposición digital ya forma parte de la normalidad.
Primero, lo que está ocurriendo en México
Durante las últimas horas comenzaron a circular publicaciones atribuidas al actor conocido como Belial01Bit, quien asegura haber obtenido información relacionada con distintas instituciones educativas de Morelos.
Entre ellas aparecen el Colegio de Bachilleres del Estado de Morelos (COBAEM), Conalep Morelos, la Preparatoria Andrés Quintana Roo y la Universidad Mexicana de Educación a Distancia (UMED).
En algunos casos se muestran muestras de información que aparentemente incluyen datos personales de alumnos o personal.
Aquí hay que ser cuidadosos.
Que alguien publique una base de datos y asegure que pertenece a determinada institución no demuestra por sí solo que sea auténtica, reciente o que haya sido obtenida directamente de sus sistemas.
Por eso, mientras no exista confirmación independiente, lo correcto es hablar de filtraciones atribuidas.
Aun así, que varias instituciones aparezcan casi simultáneamente en este tipo de publicaciones es una señal que no debería ignorarse.
También apareció una supuesta base de beneficiarios de programas sociales
Otro actor identificado como Mago Speak publicó una base que asegura corresponder a beneficiarios de la Pensión para el Bienestar de las Personas Adultas Mayores.
El anuncio habla de más de 852 mil registros y afirma incluir información como nombre, RFC, edad y número telefónico.
Sin embargo, una revisión preliminar encontró inconsistencias: algunos registros analizados no coincidían con beneficiarios del programa o mostraban números telefónicos distintos.
Eso cambia mucho la lectura.
No podemos afirmar que se trate de una filtración real del programa.
Y también recuerda algo que suele olvidarse: en los mercados clandestinos se mezclan bases antiguas, información reutilizada y datos obtenidos de distintas fuentes. Que alguien escriba “base del gobierno” no convierte automáticamente esos datos en auténticos.
El caso que sí merece especial atención: ABIB e Internet para el Bienestar
Aquí la situación se vuelve más delicada.
Recientemente documentamos en Ciber Conciencia Digital una vulnerabilidad en una API relacionada con ABIB, operador de Internet para el Bienestar.
La falla permitía consultar información de usuarios sin autenticación mediante una vulnerabilidad de tipo IDOR.
Ahora apareció además una publicación en un foro que asegura ofrecer una base relacionada con este operador, incluyendo clientes, recargas, activaciones y líneas.
Por el momento no existen elementos suficientes para afirmar que esa base provenga de la vulnerabilidad que documentamos ni para confirmar la autenticidad completa del material.
Pero la coincidencia obliga a hacer una pregunta importante.
ABIB participa actualmente en el proceso de vinculación de líneas telefónicas con la CURP.
Eso significa que ya no estamos hablando solamente de una base comercial cualquiera.
Estamos hablando de sistemas que pueden concentrar información capaz de relacionar identidad y número telefónico.
Y ahí está precisamente uno de los puntos que hemos señalado desde hace meses: el problema del registro obligatorio de líneas no termina cuando una persona entrega sus datos.
Ahí apenas comienza.
Después hay que preguntarse quién los almacena, qué sistemas tienen acceso, cómo se protegen, cuánto tiempo se conservan y qué ocurre si alguno de esos sistemas tiene una vulnerabilidad.
El verdadero problema no es una sola filtración
Sería fácil detenernos aquí y pensar que el problema son estas instituciones o este operador.
Pero no lo es.
La realidad es que cada vez tenemos más información conectada, más servicios en línea y más sistemas compartiendo datos entre sí.
Una escuela guarda nombres, teléfonos, direcciones y expedientes.
Una empresa de telecomunicaciones puede relacionar una línea con una identidad.
Una dependencia pública administra bases de millones de personas.
Y una vulnerabilidad en cualquiera de esos puntos puede terminar exponiendo información que después será utilizada para fraude, extorsión, phishing o robo de identidad.
El atacante no necesita romper todos los sistemas.
Le basta con encontrar uno mal protegido.
Mientras tanto, afuera ocurre exactamente lo mismo
Ese mismo día, CISA, la agencia estadounidense responsable de seguridad de infraestructura, continuaba agregando vulnerabilidades a su catálogo de fallas explotadas activamente.
La diferencia es importante.
No se trata simplemente de vulnerabilidades descubiertas en un laboratorio, sino de fallas que ya están siendo utilizadas contra sistemas reales.
Al mismo tiempo, investigadores de la Universidad de Toronto presentaron GPUThor, una técnica capaz de explotar características físicas de la memoria de determinadas tarjetas gráficas NVIDIA.
Esto tampoco significa que cualquier computadora esté a punto de ser atacada.
Pero muestra hasta dónde ha evolucionado la investigación ofensiva: los ataques ya no se concentran únicamente en contraseñas o aplicaciones. También buscan aprovechar el propio hardware.
Y mientras todo esto ocurría, el Departamento de Justicia de Estados Unidos anunció que el FBI había tomado control de infraestructura utilizada por un grupo de hackers vinculado con China.
Entre los objetivos investigados por ese grupo aparecieron instituciones como la NASA, la Reserva Federal y organismos gubernamentales estadounidenses.
Es otra escala del mismo problema.
Desde una pequeña escuela hasta una infraestructura gubernamental crítica, todos forman parte del mismo ecosistema digital.
Y todo esto ocurrió prácticamente en un solo día
Ésa es la parte que más me llama la atención.
No estamos repasando los principales incidentes del año.
Estamos hablando de unas cuantas horas.
Filtraciones atribuidas a instituciones educativas.
Una supuesta base de beneficiarios de programas sociales.
Información relacionada con un operador que vincula líneas telefónicas con CURP.
Vulnerabilidades explotadas activamente.
Ataques contra hardware.
Y operaciones internacionales contra grupos de hackers.
Algunos casos se confirmarán.
Otros quizá resulten ser información reciclada, bases mezcladas o simples exageraciones de quienes intentan vender datos.
Pero incluso eliminando los casos dudosos, el panorama sigue siendo enorme.
Quizá estamos haciendo la pregunta equivocada
Durante años la mayoría de las personas ha pensado en ciberseguridad de una forma muy sencilla:
“Yo no tengo nada importante. ¿Quién me va a hackear?”
Pero nuestra información ya no depende solamente de nosotros.
Está en la escuela.
En el banco.
En la compañía telefónica.
En plataformas privadas.
En dependencias públicas.
En proveedores que muchas veces ni siquiera conocemos.
Podemos utilizar contraseñas seguras, activar la autenticación de dos factores y mantener nuestros dispositivos actualizados.
Todo eso ayuda.
Pero no podemos controlar la seguridad de cada organización que almacena nuestros datos.
Por eso la pregunta ya no debería ser únicamente:
“¿Me van a hackear?”
Quizá deberíamos empezar a preguntarnos:
“¿Qué estoy haciendo para reducir el daño cuando alguno de los sistemas que tiene mis datos sea comprometido?”
Porque si todo esto puede aparecer en apenas un día de noticias, probablemente deberíamos estar prestando mucha más atención.