En las que han sido las peores dos semanas para la seguridad informática de las dependencias públicas del estado de los últimos años, un hacker vivió su inicio, auge, caída y renacimiento, dejando como enseñanza la exhibición de la vulnerabilidad de la información que manejan las instancias gubernamentales.
Usualmente, los piratas informáticos prefieren las sombras para trabajar, aman la discreción y desconfían de todos. El producto de sus asaltos informáticos no es tan accesible y cuando lo exhiben, es en foros para conocedores, casi siempre accesibles en la web profunda, a la que pocos acceden. También, invariablemente, buscan lucrar con sus cosechas digitales.
Este se sale de ese perfil. Primero, su cuenta no está oculta en sitios cuasi clandestinos. Está disponible en una plataforma de mensajería que se presenta como alternativa a WhatsApp. Cualquier usuario puede entrar a ella, pues su acceso es abierto.
Se ha movido rápido. La creó el 2 de julio y desde entonces, ha penetrado a más de 20 dependencias públicas en varios estados. Sus blancos en San Luis han sido el Poder Judicial del Estado, la alcaldía capitalina y el Colegio de Bachilleres.
Aunque oferta alguna de sus conquistas por un pago, en otras ocasiones tiene disponible la información de manera gratuita.
Es temperamental. Al anuncio de que la alcaldía presentaría una denuncia penal por la intervención de sus sistemas, dio una airada respuesta que se reproduce en su escritura original “Porque no mejor le ponen denuncia a todos los desaparecidos y a ustedes mismos por pinches corruptos de mierda al pueblo pueden hacerle lo que sea pero algo mínimo les pasa a funcionarios y se ponen de maricones mejor inviertan en seguridad putos”.
Su desquite fue hackear al Cobach.
No es ajeno a los vaivenes. El viernes por la tarde, anunció la desactivación de las ligas que permitían acceder al sitio de almacenamiento Gofile donde estaba disponible la información municipal. Horas después, ya cerca de la medianoche, prometió una cuarta intervención a una dependencia potosina.
Pero el sábado, temprano por la mañana, se lamentaba de que le habían “tumbado” todos sus links y cuestionaba si era ya el fin de su carrera. Este tecleador confirmó que las ligas ya no eran funcionales.
El pesimismo duró poco, porque a las 10:12 de la mañana reactivó la información relativa al Cobach.
¿Qué tan grave es el impacto de estas intrusiones digitales?
En el caso del Poder Judicial del Estado, el hacker filtró 78 gigabytes de información sobre procesos laborales de los últimos cuatro años, incluido lo que va de 2026.
Entre los 200 mil documentos del paquete hay desde notificaciones relacionadas con laudos, hasta sentencias completas en las que, en los fallos favorables al empleado demandante, se determinan montos de indemnización.
Los documentos vienen en crudo, en formato PDF, con una identificación numérica que obliga a abrir el archivo para saber su contenido.
Pero, como un ejemplo de un uso práctico, a través de un programa automatizado, se pudieran sistematizar los documentos para identificar a aquellos patrones, particulares o empresas, que registre el número de procesos laborales perdidos y el monto global de las indemnizaciones, lo que pudiera ser utilizado por bancos, aseguradoras o potenciales socios para determinar la conveniencia de una adquisición, el otorgamiento de un crédito o un seguro.
En casos más malintencionados, se podría definir qué extrabajador ganó una suma por la obtención de un finiquito favorable y, dado que los expedientes presentan nombres, direcciones, teléfonos y credenciales de elector sin ningún tipo de testeo, las posibilidades de robo o extorsión no pueden descartarse.
Por lo que toca a la alcaldía, la filtración consistió en 15 mil declaraciones patrimoniales de funcionarios municipales.
El impacto es menor, porque se trata de documentos de 2022 hacia atrás y, de cualquier modo, son documentos que funcionarios y dependencias deben hacer públicos.
Tampoco es posible identificar a quién corresponden los archivos sin abrirlos y leerlos.
Sin embargo, se trata de las versiones presentadas ante la Contraloría Interna. Es decir, las originales, que no están testadas, como las versiones públicas, lo que permitiría rastrear ingresos y bienes reales de los funcionarios.
Sin duda, el caso más grave es el del Colegio de Bachilleres, porque involucra la información de estudiantes menores de edad, además de docentes y padres, madres y tutores de los alumnos.
De los primeros, se filtraron datos como la CURP, direcciones, teléfonos, correos electrónicos, números de matrícula, plantel al que pertenece y tipo de sangre.
En el caso de maestros, directivos y trabajadores, a esa misma lista se agregan, en algunos casos, estado de salud y padecimientos que sufren, empresa aseguradora, si la tienen, características físicas, como estatura y peso, además de datos sobre su carrera académica.
Sobre los tutores, aparecen los datos de ubicación, además de sus ocupaciones.
En bases de datos aparte, hay dos archivos con las fotografías tomadas por la institución de miles de alumnos, exalumnos y docentes.
A diferencia de los casos anteriores, en donde la identificación de los involucrados no era muy accesible, aquí sí hay menciones por nombres y apellidos, haciendo a los afectados completamente vulnerables a acciones como extorsiones, aproximaciones no deseadas y a la exposición de datos íntimos.
Afortunadamente en el caso de las fotografías, no hay identificación directa, pero lo anterior dificulta, no imposibilita, a alguien con la voluntad necesaria para armar el paquete completo de datos y fotografía.
Para agravar las cosas, entre el material extraído y filtrado está un listado de contraseñas de usuarios de sistemas internos del Cobach, algunos tan vitales como el Sistema Escolar Integral de Gestión de Alumnos, desde donde se controlan el historial académico de los alumnos y los pagos realizados por inscripciones, por nombrar sólo dos aspectos. Esta base de datos tiene mil 899 registros.
Ayer por la tarde, el Cobach emitió un comunicado en el que “rechaza categóricamente” la revelación de que su sistema fue intervenido.
Se trata de la respuesta estándar que da una autoridad blanco de un hackeo. Esa misma negativa dio el Poder Judicial y la alcaldía, aunque anunció una acción penal contra el responsable, no aceptó abiertamente haber sido intervenida.
En el caso del Cobach, una casualidad permitió confirmar al que esto escribe que los datos filtrados procedían realmente de la institución. Con permiso del lector, los siguientes párrafos se escribirán en primera persona.
Resulta que mi hija mayor es egresada de un plantel del Cobach. Ella, y otra alumna actual del colegio, identificaron nombres de maestros, actuales y pasados, dentro de la base de datos de docentes.
Más aún, los datos de mi hija aparecen en el listado filtrado de alumnos, concretamente, su número de matrícula, su correo electrónico, la dirección familiar, mi número de celular personal y el de mi esposa, además de mi correo electrónico particular.
El boletín del Cobach puede negar lo que quiera, pero para mí, esas son pruebas de que las bases de datos provienen de esa institución. Hasta aquí el tratamiento en primera persona.
Es explicable por qué el Poder Judicial del Estado y el Cobach niegan tajantemente las invasiones digitales: sería una admisión de una falla en la responsabilidad de custodia de los datos personales de sus usuarios. Y como tal, sancionable legalmente.
El que estos sistemas hayan sido vulnerados implican violaciones a la Ley de Protección de Datos Personales en posesión de Sujetos Obligados del Estado, a la Ley de Archivos y a sus pares federales.
Independientemente de las negativas, el hecho concreto es que la información confidencial cuyo resguardo le correspondía al Poder Judicial, la alcaldía capitalina y al Cobach está en manos indebidas y circulando públicamente. Eso es la grave falla de las dependencias involucradas. Y eso no se remedia negando las intervenciones.
Pero la negativa no es una cuestión de prestigio herido, sino una defensa contra sanciones.
Alguien que pudiera sentirse afectado podría iniciar un proceso administrativo contra los responsables de la custodia de los datos. Incluso una acción colectiva podría ser posible.
La situación de la autoridad podría agravarse al rechazar una intervención, pues además, estaría omitiendo su responsabilidad establecida en las leyes de avisar, a cada uno de los sujetos obligados, que sus datos estarían en las manos de personas no autorizadas en tenerlos. A la falla se le sumaría la mala fe.
Una agravante más que generan las vulneraciones cibernéticas es el desdén de las autoridades para enfrentarlas.
Y esto se refleja en el hecho de que, el año pasado, la Unidad de Sistemas Informáticos del Poder Ejecutivo del Estado, la instancia que se supondría responsable de prevenir los hackeos, tenía presupuestada una bicoca: apenas 7.4 millones de pesos.
Y todavía, según la cuenta pública de 2025, sufrió un recorte del 50 por ciento, pues registró una reducción presupuestal de 3.1 millones de pesos, por lo que sólo ejerció 3.3 millones de pesos.
En algo tiene razón el hacker, en lugar de estar negando hechos evidentes, mejor inviertan en seguridad.