El presunto robo de millones de registros en Infonavit y la venta de datos de pensionados del IMSS exponen la fragilidad digital del Estado mexicano y los riesgos directos para los ciudadanos.
Septiembre negro para la información pública
En menos de una semana, dos de las instituciones más grandes de México se vieron involucradas en presuntas filtraciones de datos. Primero, un grupo de ciberdelincuentes ofreció a la venta lo que afirmaban ser hasta 86 millones de registros del Infonavit: nombres completos, CURP, NSS, RFC, direcciones y teléfonos de derechohabientes. Poco después, apareció en foros de la Dark Web la base de 20 millones de pensionados del IMSS, con información sensible de adultos mayores, uno de los sectores más vulnerables del país.
Aunque ambas instituciones se apresuraron a matizar o negar un “hackeo” externo, los hechos confirman que esas bases estaban en circulación. Y cuando hablamos de datos maestros —los que permiten identificar a un ciudadano en múltiples plataformas— la exposición se traduce en un riesgo real para millones de familias.
Cómo impacta en la vida diaria de los mexicanos
No se trata de un problema abstracto ni lejano. Las filtraciones de bases masivas tienen consecuencias concretas:
- Fraude financiero. Con CURP, RFC y dirección, delincuentes pueden abrir cuentas bancarias, solicitar créditos en línea o contratar servicios a nombre de terceros. El afectado se entera hasta que le llega un aviso de cobranza o un reporte negativo en el buró de crédito.
- Suplantación fiscal. Usando RFC y datos personales, grupos criminales pueden generar facturas falsas (CFDI) o declarar ingresos inexistentes. El contribuyente debe después aclarar con el SAT, un proceso costoso y desgastante.
- Extorsión digital. Al contar con teléfono y dirección, se incrementan las llamadas de extorsión y las amenazas personalizadas. No es un “spam” genérico, sino un contacto que puede mencionar datos reales de la víctima.
- Riesgos para adultos mayores. En el caso del IMSS, muchos pensionados usan su cuenta bancaria para recibir su único ingreso mensual. Una filtración de esta magnitud expone a fraudes de tarjetas, clonación de identidad y llamadas engañosas dirigidas a personas con menor alfabetización digital.
- Créditos fantasma en Infonavit. Ya se han documentado casos en los que derechohabientes descubren que alguien solicitó un crédito a su nombre. Con una base completa en manos de criminales, el riesgo se dispara.
Brechas entre discurso y realidad
El Plan Estratégico y Financiero 2025 del Infonavit incluye entre sus prioridades “fortalecer las medidas de seguridad en infraestructura, redes, aplicativos y datos”. Sin embargo, el incidente reciente sugiere que esas medidas aún no alcanzan la madurez necesaria.
En paralelo, el IMSS insistió en que no hubo intrusión externa, pero reconoció que podría tratarse de una “filtración interna”. Esto abre otro frente: los riesgos de personal con acceso privilegiado. Un empleado descontento o corrompido puede filtrar información valiosa, y es mucho más difícil detectar a tiempo este tipo de fuga.
La dimensión económica del problema
La falta de inversión agrava la vulnerabilidad. México destina menos de 1 dólar por persona al año a la ciberseguridad pública, mientras que países desarrollados gastan más de 30 dólares per cápita.
Las consecuencias son claras:
- Cada incidente en economías emergentes como México se traduce en pérdidas equivalentes a entre 2.4 y 2.7 dólares en PIB per cápita.
- América Latina y el Caribe es la región con mayor crecimiento en ciberincidentes divulgados: un 25% anual en la última década.
- Cerca del 30% de los ataques registrados afectan directamente a la administración pública, con impacto en servicios básicos.
Esto no solo es un tema de seguridad: es un factor de desarrollo económico. Cada peso no invertido en ciberseguridad pública genera costos mucho mayores en fraude, litigios, tiempo perdido y pérdida de confianza.
Amenazas al alza: del ransomware al phishing
El catálogo de riesgos para las instituciones públicas crece:
- Ransomware con exfiltración. Los atacantes roban la información y después la cifran. Si la institución no paga, publican los datos.
- Phishing tributario. Correos que simulan venir del SAT o de bancos, usando datos robados para dar verosimilitud.
- Errores en la nube. Bases de datos mal configuradas quedan expuestas en internet sin siquiera ser “hackeadas”.
- Ataques a proveedores. Un tercero sin controles adecuados puede abrir la puerta a toda una dependencia.
Un ejemplo internacional reciente lo dejó claro: un ataque al proveedor de check-in de aerolíneas en Europa paralizó aeropuertos completos durante horas. En México, un incidente así podría detener servicios de salud, trámites fiscales o programas sociales.
Soberanía de datos: un reto nacional
La soberanía de datos significa que la información de los ciudadanos debe estar bajo las leyes, políticas y autoridades mexicanas. Pero más allá de la teoría, implica que las instituciones no dependan de proveedores extranjeros sin controles adecuados, que los servidores estén en territorio nacional o en nubes con garantías de jurisdicción, y que solo personal autorizado tenga las llaves de acceso.
Si México no asegura esta soberanía, expone no sólo a los ciudadanos, sino también a la estabilidad del propio Estado.
Qué hacer en el corto plazo
Las lecciones de Infonavit e IMSS deberían detonar un plan inmediato:
- Presupuesto realista y sostenido. Pasar de menos de un dólar per cápita a un nivel que permita centros de operaciones de seguridad 24/7.
- Estrategia Zero Trust. Nadie accede por defecto: autenticación multifactor, privilegios mínimos y segmentación de redes críticas.
- Higiene en la nube. Auditorías constantes de configuraciones y cifrado con llaves propias.
- Capacitación y simulacros. Ejercicios de respuesta ante incidentes en cada dependencia, al menos trimestrales.
- Gestión de proveedores. Contratos que obliguen a notificar incidentes, con auditorías verificables.
- Canal público de incidentes. Notificación inmediata a la ciudadanía afectada, con guías de protección contra fraudes.
Conclusión: del discurso a la acción
El presunto robo de millones de registros en Infonavit y la filtración de datos del IMSS no son hechos aislados. Son una llamada de atención sobre la urgencia de transformar la ciberseguridad en política de Estado.
No se trata solo de evitar multas o sanciones: está en juego la confianza de los ciudadanos, la integridad de sus patrimonios y la estabilidad de la economía nacional.
Los datos son el nuevo petróleo, pero mal resguardados se convierten en dinamita.