La cifra más citada es de alrededor de 6 terabytes de información, aunque investigaciones posteriores, basadas en expedientes militares, hablan de hasta 6.7 TB. Los archivos comprendían información generada entre 2016 y septiembre de 2022.
Cuatro años después, el caso sigue siendo relevante por una razón que va mucho más allá de las revelaciones políticas que produjo: Guacamaya mostró lo que puede ocurrir cuando una institución que concentra información extremadamente sensible falla en la protección y actualización de su infraestructura digital.
Y con el paso del tiempo también hemos sabido más sobre cómo ocurrió.
El tamaño del problema
La filtración se hizo pública el 29 de septiembre de 2022. Los medios que tuvieron acceso al material reportaron más de cuatro millones de correos electrónicos de la Sedena. Entre ellos había comunicaciones internas, reportes de inteligencia, contratos, información sobre operaciones militares y documentos relacionados con la salud del entonces presidente Andrés Manuel López Obrador.
La propia Sedena reconoció posteriormente ante el INAI que su sistema de correo electrónico había sido vulnerado.
Su primera explicación, sin embargo, resultó insuficiente frente a la dimensión del incidente.
La dependencia sostuvo que el correo comprometido no estaba conectado a sistemas destinados al tratamiento de datos personales y afirmó que la información intercambiada mediante ese sistema era de carácter público y correspondía a mensajes “no clasificados”. También informó que había bloqueado el servicio, realizado análisis forenses, actualizado software y aplicado parches para reducir el riesgo de nuevos ataques.
El argumento generó cuestionamientos porque un correo electrónico institucional puede contener datos personales, información operativa o documentos sensibles aunque técnicamente no forme parte de una base de datos creada específicamente para almacenarlos.
El INAI inició entonces una investigación de oficio y posteriormente un procedimiento de verificación para determinar si se habían incumplido obligaciones de seguridad y confidencialidad.
Pero el problema de Guacamaya nunca fue únicamente la privacidad.
También estaba en juego la seguridad de la información.
Lo que inicialmente parecía un ataque sofisticado
Cuando ocurrió la filtración circularon explicaciones que apuntaban a vulnerabilidades en servidores Microsoft Exchange. Diversos reportes señalaron que los atacantes habrían aprovechado fallas conocidas en esa plataforma.
Eso generaba una pregunta inevitable: ¿cómo había conseguido un grupo externo extraer semejante cantidad de información de una institución encargada de la seguridad nacional?
Durante mucho tiempo no hubo una explicación pública suficientemente detallada.
Hasta que, tres años después, apareció un dato relevante.
En octubre de 2025, el secretario de la Defensa Nacional, Ricardo Trevilla Trejo, reconoció públicamente que el incidente se había producido por una “falla humana” y explicó que parte de la información comprometida circulaba a través de Internet común y no estaba cifrada.
La declaración cambia de manera importante la lectura del caso.
Guacamaya deja de ser únicamente la historia de un grupo capaz de penetrar sistemas militares y se convierte también en la historia de una organización que manejaba información sensible mediante infraestructura que no contaba con todas las protecciones esperables para ese nivel de información.
Cuatro años después siguen apareciendo datos
Otro aspecto extraordinario de Guacamaya es que la filtración no terminó en 2022.
Los documentos continúan siendo revisados.
Todavía en abril de 2026 se publicaron investigaciones basadas en archivos obtenidos durante aquella intrusión. Una de ellas recuperó una investigación académica interna de la Sedena según la cual 3,968 militares evaluados entre 2012 y 2020 presentaban posibles vínculos con la delincuencia organizada.
La cifra procede de una tesis de Maestría en Seguridad Nacional localizada entre el material filtrado y debe entenderse como el resultado de aquella investigación interna. No constituye, por sí sola, prueba de responsabilidad penal individual.
Ese detalle ayuda a dimensionar lo ocurrido.
Guacamaya no fue simplemente una base de datos robada que apareció una mañana en Internet.
Fue la extracción de varios años de memoria institucional.
Un correo electrónico aislado puede parecer trivial: una solicitud administrativa, un archivo adjunto, una conversación entre funcionarios o un reporte rutinario.
Pero cuando se reúnen millones de mensajes es posible reconstruir relaciones, decisiones, procedimientos internos, operaciones, proveedores, investigaciones y estructuras completas de una organización.
Por eso proteger el correo institucional no es un asunto menor de informática.
Es parte de la seguridad de la información.
¿Cambió algo después de Guacamaya?
Sí, aunque resulta más difícil determinar hasta qué punto las medidas adoptadas corrigieron las vulnerabilidades estructurales que permitieron el incidente.
Desde los primeros días posteriores al ataque, la Sedena informó que había actualizado el software de su correo electrónico, aplicado parches y comenzado la modernización de infraestructura y políticas de seguridad.
Más adelante, la propia dependencia reconoció que parte de su infraestructura informática arrastraba rezagos importantes y planteó inversiones para modernizar sus capacidades de almacenamiento y protección de información.
Las cifras más recientes también muestran una actividad defensiva considerable.
En su informe correspondiente al primer año de la administración de Claudia Sheinbaum, la Defensa reportó haber contenido 14 millones 150 mil 266 eventos de ciberataque entre octubre de 2024 y agosto de 2025 contra su portal web, correo institucional, servidores de almacenamiento y otros sistemas.
La cifra debe interpretarse con cuidado. La categoría incluye intentos de intrusión, escaneos automatizados de vulnerabilidades, correos maliciosos y campañas de phishing. No significa que la institución haya sufrido más de 14 millones de hackeos exitosos.
La diferencia es fundamental.
Cualquier infraestructura conectada a Internet recibe constantemente escaneos automatizados e intentos de ataque. Una institución como la Defensa, por la información que concentra, será inevitablemente un objetivo frecuente.
El problema no es recibir ataques.
El problema es qué tan preparada está una organización cuando uno de ellos consigue avanzar.
La lección que Guacamaya dejó
Después de un incidente de ciberseguridad existe una tendencia a imaginar atacantes extraordinariamente sofisticados capaces de derrotar sistemas prácticamente impenetrables.
Guacamaya recuerda que muchos incidentes graves también pueden comenzar con problemas mucho más ordinarios: software sin actualizar, parches que no se instalaron a tiempo, información sin cifrar, configuraciones deficientes, errores humanos o una cadena de responsabilidades mal atendida.
La declaración realizada por Ricardo Trevilla en 2025 es relevante precisamente por eso. Tres años después del ataque, la propia Defensa reconoció que el componente humano había sido determinante.
Y cuatro años después todavía aparecen nuevos elementos sobre el caso.
En vísperas de este aniversario surgieron datos procedentes de un expediente de la Fiscalía de Justicia Militar que podrían ayudar a reconstruir con mayor precisión lo ocurrido durante aquellas semanas de 2022. Reportes publicados el 27 de septiembre señalan que la intrusión habría permanecido activa durante 25 días, entre el 15 de agosto y el 9 de septiembre de 2022, y describen posibles omisiones internas frente a alertas y actualizaciones de seguridad.
Ese expediente merece un análisis separado. Contiene señalamientos sobre personas concretas y posibles responsabilidades que deben distinguirse cuidadosamente entre hechos acreditados, conclusiones de una investigación y acusaciones todavía sujetas a interpretación o procedimiento.
Pero introduce una pregunta que sigue pendiente.
Cuatro años después de Guacamaya Leaks, ya no basta con saber qué información se llevaron.
También es necesario saber por qué pudieron extraerla durante tanto tiempo, qué alertas fueron ignoradas, quién debía actuar y qué cambió después para evitar que ocurra de nuevo.
Ese sigue siendo uno de los puntos centrales para entender el legado de Guacamaya en la ciberseguridad mexicana.