La otra guerra: ciberataques a instituciones públicas mexicanas
En los últimos años, México ha enfrentado una escalada silenciosa de ciberataques dirigidos a sus instituciones públicas. Desde el hackeo a la SEDENA con el caso Guacamaya, hasta ataques a PEMEX, ISSSTE, Secretaría de Economía y gobiernos estatales, la evidencia es clara: el Estado mexicano está siendo vulnerado digitalmente. Y lo peor, sin una estrategia nacional de ciberseguridad robusta ni capacidad de respuesta inmediata.
Los ataques no solo buscan robar información. También pueden paralizar sistemas críticos, chantajear a dependencias o manipular bases de datos clave. En un país donde buena parte del aparato gubernamental opera de forma digital, las consecuencias pueden ser catastróficas.
¿Qué buscan los ciberatacantes?
Los motivos detrás de los ataques varían, pero se concentran en:
- Ransomware: secuestro de archivos a cambio de rescates en criptomonedas.
- Filtración de datos sensibles: nombres, contratos, comunicaciones internas, expedientes médicos o fiscales.
- Sabotaje político: revelar información que genere escándalo o presión pública.
- Espionaje: acceder a información estratégica o clasificada.
Los objetivos más comunes son secretarías de gobierno, plataformas de salud, infraestructura energética y datos fiscales. La razón es simple: tienen valor económico, político y logístico.
El caso Guacamaya y el shock a la defensa nacional
En 2022, el grupo hacktivista Guacamaya reveló que había extraído más de 6 terabytes de correos electrónicos internos de la Secretaría de la Defensa Nacional (SEDENA). La información incluía reportes de inteligencia, operaciones militares, seguimientos a civiles y hasta datos de salud del presidente.
El ataque evidenció el rezago tecnológico en ciberseguridad militar y la falta de cifrado en comunicaciones sensibles. Además, demostró que no se trataba de un ataque aislado, sino de una operación organizada y con motivaciones ideológicas.
PEMEX: cuando la energía se vuelve rehén
En 2019, Petróleos Mexicanos fue víctima de un ataque de ransomware. El virus Ryuk infectó equipos clave, obligando a la petrolera a desconectar sistemas internos y operar parcialmente durante días. Los atacantes exigieron millones de dólares para liberar la información.
Aunque la empresa negó haber pagado el rescate, los daños operativos y reputacionales fueron enormes. También reveló que muchas dependencias no cuentan con protocolos de respuesta ni copias de seguridad efectivas.
Gobiernos estatales y municipales: el eslabón más débil
Varios gobiernos locales han sufrido ciberataques, aunque pocos lo admiten públicamente. Los municipios tienen sistemas informáticos precarios, software obsoleto y personal sin formación en ciberseguridad. Esto los convierte en blanco fácil para ataques automatizados o extorsiones dirigidas.
Además, muchos almacenan bases de datos con información sensible de contribuyentes, permisos de construcción, licencias, multas y otros procesos vulnerables a manipulación.
¿Y la estrategia nacional?
En México no existe una ley general de ciberseguridad. Tampoco una agencia autónoma encargada exclusivamente de coordinar la defensa cibernética del Estado. Lo que hay son esfuerzos dispersos entre la Guardia Nacional, la Secretaría de Seguridad, la SEDENA y la Secretaría de Economía.
Si bien se han emitido lineamientos y se han creado unidades de respuesta a incidentes (CSIRT), la falta de presupuesto, personal especializado y visión integral deja al país expuesto ante ataques cada vez más sofisticados.
Inversión pública, rezago digital
Mientras países como España, Alemania o Estados Unidos destinan millones de dólares a proteger su infraestructura digital, en México muchos sistemas gubernamentales aún operan con tecnologías de hace dos décadas. El software pirata, la ausencia de actualizaciones y la tercerización sin supervisión agravan el panorama.
Incluso portales federales relevantes siguen siendo vulnerables a ataques de denegación de servicio (DDoS) o intentos de inyección SQL. Sin protocolos sólidos, una falla puede escalar en minutos.
¿Qué se puede hacer desde el Estado?
- Legislar una ley integral de ciberseguridad: con obligaciones claras para todas las entidades públicas y privadas.
- Crear una agencia nacional autónoma: encargada de coordinar, capacitar y reaccionar ante ciberataques.
- Capacitar al personal gubernamental: desde el nivel municipal hasta federal, incluyendo jueces, policías y técnicos.
- Auditar y actualizar sistemas: eliminar software obsoleto, exigir buenas prácticas y tener respaldos confiables.
- Establecer cooperación internacional: con CERTs de otros países, empresas tecnológicas y organismos multilaterales.
El ciudadano también está en riesgo
Cuando se vulneran instituciones públicas, no solo se afecta al gobierno. También se exponen datos personales de millones de mexicanos: historiales médicos, datos fiscales, domicilios, RFC, CURP y más.
En un entorno sin legislación adecuada ni sanciones ejemplares, los ciudadanos quedan indefensos ante el mal uso de su información. Y en muchos casos, ni siquiera son notificados cuando sus datos son robados.
Una guerra sin tiros, pero con consecuencias reales
Los ciberataques no se ven, no hacen ruido y no llenan portadas con sangre. Pero pueden paralizar hospitales, comprometer la seguridad nacional o generar caos económico en minutos. México ya está siendo atacado. La pregunta es: ¿cuándo va a defenderse de verdad?
