El 30 de enero de 2026, un grupo autodenominado Chronus publicó alrededor de 2.3 terabytes de datos provenientes de al menos 25 instituciones públicas mexicanas. El material cubría a unos 36.5 millones de personas, cerca del 28% de la población del país.
Llegó tres semanas después de que México publicara su Plan Nacional de Ciberseguridad 2025-2030.
Qué contenía
Entre las instituciones mencionadas estaban IMSS-Bienestar, el sistema público de salud; el SAT, la autoridad tributaria federal; el Instituto Nacional de Perinatología; el partido Morena; secretarías de salud y fiscalías estatales de Chihuahua, Tabasco y Tamaulipas; el municipio de Benito Juárez, donde está Cancún; y una clínica universitaria privada en Yucatán.
El conjunto más grande venía de IMSS-Bienestar: unos 1.8 TB con registros de 3.15 millones de personas, que según se reportó incluían validaciones tomadas directamente de RENAPO, el registro nacional de población.
En el total de la publicación, los tipos de dato eran de los más sensibles que puede tener un conjunto nacional: identificadores CURP y RFC, números de seguridad social, expedientes médicos, credenciales de elector, documentos internos de gobierno y material biométrico, incluidas fotografías y huellas dactilares. La Secretaría Anticorrupción de México abrió investigaciones. No se anunció ningún proceso de notificación a las víctimas.
La respuesta del gobierno, y por qué no cierra el asunto
La Agencia de Transformación Digital y Telecomunicaciones (ATDT) respondió el mismo día. Su postura fue que no se trataba de "una vulneración a la infraestructura de las autoridades": los datos, dijo, provenían de plataformas obsoletas operadas por terceros del sector privado y no de sistemas de gobierno en operación.
Tomémoslo por bueno un momento, porque bien podría ser exacto. Aun así, no es la defensa que aparenta.
Un sistema dado de baja que sigue siendo alcanzable, sigue conteniendo registros ciudadanos vigentes y sigue aceptando credenciales que funcionan, no fue dado de baja. Fue olvidado. La distinción le importa a quien administra un inventario de activos y no le importa en absoluto a los 36 millones de personas cuyas huellas dactilares están ahora en circulación. "Obsoleto" describe el estado de soporte del software. No dice nada sobre si los datos que hay dentro siguen vigentes, y en este caso claramente lo estaban.
La segunda mitad de la respuesta —que las plataformas eran de terceros— es un argumento de la misma forma. Cuando un proveedor guarda registros ciudadanos por cuenta del Estado, la obligación del Estado no se transfiere junto con el alojamiento. Y el daño, tampoco.
La historia de la IA, y por qué no la ponemos primero
Casi toda la cobertura en inglés de las brechas mexicanas de 2026 destaca otra cosa: la afirmación de que un solo operador usó agentes de IA para entrar al gobierno.
El 25 de febrero de 2026, la firma israelí de seguridad Gambit Security publicó un informe que sostenía que un atacante no identificado había comprometido nueve organizaciones del gobierno mexicano entre fines de diciembre de 2025 y mediados de febrero de 2026, usando Claude Code de Anthropic y GPT-4.1 de OpenAI, y exfiltrando unos 195 millones de registros de contribuyentes del SAT junto con datos del registro civil de la Ciudad de México, del INE, de los gobiernos estatales de Jalisco, Michoacán, Tamaulipas y Estado de México, y de la empresa municipal de agua de Monterrey. Lo recogieron más de cien medios.
Ninguna autoridad mexicana lo ha corroborado, y varias lo rechazaron de plano.
- La ATDT emitió su desmentido el 30 de enero, veintiséis días antes de que Gambit publicara, señalando que no se había identificado publicación de datos sensibles atribuible a una intrusión gubernamental.
- El SAT declaró haber revisado sus registros de acceso sin encontrar accesos ilegítimos ni comportamientos anómalos.
- El INE dijo que no existían incidentes de seguridad corroborados que le permitieran validar la narrativa de una exfiltración masiva, y que no había identificado las vulneraciones descritas.
- El gobierno de Jalisco también negó públicamente que hubiera ocurrido una brecha.
Vale la pena registrar dos puntos más. Gambit anunció el informe el mismo día en que anunció una ronda de financiamiento de 61 millones de dólares. Y un investigador independiente publicó después evidencia de que una API federal mexicana estaba exponiendo del orden de 186 millones de registros ciudadanos en internet abierto, recuperables por cualquiera que enviara una petición: sin intrusión, sin cadena de exploits y sin ningún agente de IA de por medio.
No estamos en posición de dirimir esto, ni lo pretendemos. El informe de Gambit es detallado y podría ser sustancialmente correcto; las dependencias tienen incentivos para negar, y la ausencia de evidencia en los registros de acceso vale menos de lo que suena cuando el registro es incompleto. Pero quien lee merece saber que la versión más repetida de esta historia se apoya en el relato no verificado de un único proveedor, que las víctimas señaladas lo niegan y que hay sobre la mesa una explicación mucho más mundana para que esos mismos datos estén circulando. De los muchos medios que difundieron las afirmaciones de Gambit, muy pocos publicaron los desmentidos.
Cuatro cosas que conviene llevarse
Dar de baja un sistema es una tarea de seguridad, con responsable y fecha de cierre. Casi cualquier organización puede nombrar los sistemas que apagó. Muchas menos pueden demostrar que los datos se fueron con ellos. Si una plataforma se retira, confirma que los registros se exportaron o se destruyeron, que las credenciales se revocaron y que el host se apagó de verdad; y después sácalo de la red y del inventario de activos, en ese orden.
Los sistemas obsoletos de tus terceros son tu exposición. El contrato puede mover el alojamiento. No mueve la obligación, y desde luego no mueve las consecuencias. Pregunta directamente a tus proveedores qué pasa con tus datos cuando una de sus plataformas llega al final de su vida útil, y pide la respuesta por escrito.
Conoce qué devuelven tus interfaces públicas. Una API que contesta preguntas que nadie la autorizó a contestar es una brecha que no genera ninguna alerta, porque no ocurre nada anormal. Inventaría lo que está expuesto a internet y prueba qué entrega ante una petición sin autenticar.
Lee las afirmaciones sobre brechas como leerías cualquier otro material de marketing. La investigación de amenazas que publica una empresa que vende un producto suele ser excelente y muchas veces es el único relato disponible. Sigue siendo una fuente con intereses. Revisa si las víctimas señaladas respondieron, si alguien independiente reprodujo los hallazgos y si la amenaza descrita coincide justamente con lo que vende quien publica. Ese hábito no cuesta nada y habría cambiado la forma en que buena parte del mundo leyó esta historia.
Fuentes
- Hackers leak 2.3 TB of data from 25 Mexican institutions — Mexico Tribune
- Reportan hackeo masivo de páginas de gobierno federal y de Morena — Latinus
- INE desmiente presunto hackeo masivo contra su base de datos — La Jornada
- SAT e INE niegan hackeo masivo vía Claude de Anthropic — IT Masters Mag
- The AI-assisted breach of Mexico's government infrastructure — Gambit Security (la afirmación original)
- Research published about the Mexico "hack" by Gambit — análisis independiente que la cuestiona
