Ofrecen datos de 41 millones de colombianos y la Registraduría niega el hackeo

Un vendedor anónimo ofrece en un foro de bases de datos robadas fotos, huellas dactilares y datos de identificación de unos 41,4 millones de colombianos, y asegura que los sacó de los sistemas de la Registraduría Nacional del Estado Civil, según Publimetro Colombia. La denuncia se conoció el 5 de noviembre a las 18:10 UTC (13:10 en Bogotá y Lima, 12:10 en Ciudad de México y 15:10 en Buenos Aires y São Paulo). El mismo 5 de noviembre, la Registraduría respondió que no encontró ninguna intrusión ni acceso no autorizado a sus sistemas.

Hasta ahora, nadie verificó de forma independiente que el material exista, que sea nuevo ni que venga de la Registraduría. Para Publimetro, la oferta tiene que leerse por ahora como lo que es, la declaración de un actor desconocido en un mercado clandestino.

Una cifra que ya era pública

El número del anuncio es el detalle que más dudas despierta. Los 41,4 millones coinciden casi exactamente con el censo electoralLista oficial de las personas habilitadas para votar en una elección. En Colombia la arma la Registraduría y publica su total antes de cada votación. de las presidenciales de 2026, que la propia Registraduría fijó en 41.421.973 personas habilitadas para votar, 40 millones en Colombia y 1,4 millones en el exterior, según Valora Analitik. Ese total se difunde desde el 30 de abril.

La otra cifra no encaja. En agosto, el registrador nacional, Hernán Penagos, explicó que el Archivo Nacional de IdentificaciónBase de datos de la Registraduría de Colombia con los datos, las fotos y las huellas de las personas que tienen documento de identidad. Se usa para confirmar quién es quién en trámites y elecciones. guarda cerca de 60 millones de registros y más de 800 millones de huellas, recordó Publimetro. El universo que maneja la entidad es bastante mayor que lo anunciado. Puede tratarse de una parte de esa información, o de una cifra tomada del censo público para hacer más creíble la oferta. Ninguna de las dos hipótesis está demostrada.

Tampoco alcanza con que una muestra traiga datos reales. En estos foros es común mezclar bases filtradas antes, registros públicos y datos de varias fuentes, y venderlos como un ataque reciente. Probar que los archivos salieron de la Registraduría exige un análisis forense de su formato, sus fechas y su relación con los sistemas de la entidad.

La Registraduría revisó sus registros

La entidad dijo que su equipo de seguridad examinó los registros de auditoría, la trazabilidad de los ingresos a sus plataformas, los mecanismos de monitoreo y las evidencias digitales disponibles, sin hallar indicios de que terceros accedieran a la información, según Vanguardia y La Opinión. Agregó que el archivo de identificación tiene protocolos técnicos para proteger la confidencialidad de los datos y que mantendrá el monitoreo de sus plataformas.

Al momento de la denuncia, ni ColCERT, el equipo de respuesta a incidentesequipo de respuesta a incidentes (CSIRT) Equipo que recibe avisos de ataques y fallas, alerta a quienes están en riesgo y coordina la respuesta. Muchos países tienen uno nacional, también llamado CERT. del Gobierno de Colombia, ni la autoridad de protección de datos se habían pronunciado, según Publimetro. El mismo jueves, la Alcaldía de Bogotá informó una alerta distinta por el uso indebido de un correo institucional, y no se estableció ninguna relación entre los dos casos.

El temor tiene antecedentes. En 2024, la Fiscalía de Colombia capturó a integrantes de una red de fraude bancario que habría usado bases de uso exclusivo de la Registraduría y fichas con las huellas de los diez dedos para suplantar identidadesUso de los datos personales de otra persona para hacerse pasar por ella ante una empresa u organismo, por ejemplo para contratar servicios o hacer compras a su nombre., recordó Publimetro. Una contraseña se cambia y una tarjeta se bloquea. Una huella o el rostro, que la biometríaIdentificación de una persona a partir de rasgos físicos o de comportamiento, como el rostro, las huellas dactilares, el iris o la voz. A diferencia de una contraseña, no se puede cambiar si se filtra. usa para identificar a una persona, acompañan a esa persona toda la vida, aunque los sistemas modernos suman controles como la detección de que hay una persona real frente al lector.

Cómo cuidarse mientras no hay pruebas

Con o sin filtración, la noticia es una excusa ideal para estafadores. Conviene desconfiar de llamadas, mensajes o correos que usen el supuesto hackeo para pedir datos, "verificar" la cédula o enviar enlaces, una forma clásica de phishingEngaño por correo, mensaje o sitio falso que imita a una entidad conocida para que la víctima entregue claves o datos o instale un programa. El dirigido se arma a la medida de una persona.. Activar la verificación en dos pasosMétodo de acceso que pide, además de la contraseña, un segundo dato, como un código temporal en el celular o una llave física. Si roban la clave, no alcanza para entrar. en el banco, el correo y WhatsApp hace más difícil que alguien tome una cuenta con datos personales robados.

También ayuda revisar cada tanto el reporte en las centrales de riesgo de Colombia, DataCrédito Experian y TransUnion, para detectar créditos o líneas abiertas a nombre propio. Si aparece una suplantación, se denuncia en el CAI Virtual de la Policía Nacional de Colombia o ante la Fiscalía. En otros países de la región, la vía es la policía especializada en delitos informáticos o la autoridad de protección de datos local.

Lo que falta es que alguien con acceso a la muestra la contraste con los sistemas de la Registraduría, o que ColCERT diga si abrió una revisión propia.