Exposición masiva de datos: el «portal» que nos dejó desnudos ante el crimen

Por Osvaldo Hernández Olivera

Abogado en Derecho Informático | Opinión Legal sobre Tecnología y Futuro

En México, la seguridad suele ser una promesa que se desvanece en cuanto das el primer clic. Lo ocurrido este 10 de enero de 2026 no es solo una falla técnica; es un escándalo de proporciones épicas que pone en entredicho no solo a una empresa, sino a todo el aparato regulador que nos obligó a registrarnos «por nuestro bien». Apenas 24 horas después de que el registro de líneas móviles se volviera un mandato, un periodista y experto en ciberseguridad jaló la hebra y se encontró con un abismo: el portal de registro de la compañía más grande de telefonía celular del país era una puerta abierta de par en par, sin llaves y con un letrero de «bienvenidos» para los ciberdelincuentes.

Privacidad en subasta.
¿Qué tan grave fue? Imagínese que cualquier persona, con solo saber su número telefónico, podía entrar hasta la cocina de sus datos personales. Sin contraseñas, sin tokens, sin nada. Con un simple acceso al portal de registro, la pantalla escupía su nombre, CURP, RFC y correo electrónico. Estamos hablando de la «joya de la corona» para cualquier estafador. Con esos cuatro datos, el robo de identidad no es una posibilidad, es un trámite. Es inconcebible que una empresa que factura miles de millones haya lanzado un sistema que parecía pegado con chicle y un poco de buena voluntad, sacrificando la integridad de millones de mexicanos en el altar de la prisa regulatoria.

La negligencia como norma.
Lo hemos dicho antes: la prisa es la mejor amiga del desastre. Esta compañía de telefonía celular, en su carrera desesperada por cumplir con los tiempos del Gobierno, olvidó lo más básico: proteger al usuario. No se necesita ser un experto en ciberseguridad para saber que exponer datos fiscales y personales sin una autenticación robusta es una negligencia criminal. Esto no fue un hackeo sofisticado; fue un descuido elemental que permitió que cualquier actor malicioso con un script básico pudiera vaciar las bases de datos de la telefónica más grande del país en cuestión de horas.

¿Y las consecuencias?
Ahora vendrán las multas de la Ley Federal de Protección de Datos Personales y los comunicados de «lo sentimos mucho». Pero seamos claros: las disculpas no cierran la puerta que ya dejaron abierta; una vez que su CURP y su RFC están en manos de grupos de extorsión, el daño es irreversible.

Este evento nos deja lecciones que deberían arder en la memoria de las corporaciones:

• La seguridad no es un gasto, es un cimiento. Si no puedes proteger los datos, no los pidas.
• Auditorías reales. No se puede lanzar un sistema nacional sin pruebas de penetración independientes.
• Responsabilidad compartida. El Gobierno no puede exigir registros masivos si no garantiza que las empresas encargadas tienen la infraestructura para custodiarlos.

Vigilancia digital: una tarea pendiente.
El caso es una bofetada de realidad. Nos recuerda que la tecnología, cuando se mezcla con la prisa y la falta de ética, es un arma cargada. Desde la trinchera, hacemos un llamado a la acción; este «agujero negro» debe ser un punto de inflexión. No podemos seguir siendo sujetos pasivos ante empresas que ven nuestra privacidad como un trámite burocrático. Exigir transparencia y seguridad no es un capricho, es defensa propia. De nada sirve tener una línea telefónica si, para obtenerla, tuvimos que regalarle nuestra identidad a los lobos del ciberespacio.

México necesita despertar y recordar que en la era digital, nuestra privacidad es nuestra soberanía.