Investigan supuesto robo masivo de datos en Costa Rica.

Publicación en la dark web asegura contener millones de registros

La Dirección Nacional de Ciberseguridad de Costa Rica investiga una publicación detectada en la dark web, donde un actor de amenazas no identificado asegura tener en su poder decenas de millones de registros personales relacionados con personas del país.

El supuesto paquete incluiría información altamente sensible, como fotografías de documentos de identidad, expedientes judiciales, registros de vehículos, historiales salariales y datos matrimoniales. Sin embargo, el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT) aclaró que, por ahora, no puede confirmar que haya ocurrido una filtración reciente ni que la información publicada sea auténtica.

La Dirección Nacional de Ciberseguridad abrió un análisis técnico para determinar la autenticidad del material, establecer cuál sería su procedencia, conocer su volumen real y determinar cuántas personas podrían verse afectadas. También se busca establecer si algún sistema o información perteneciente a una institución nacional fue comprometido.

Entre las cifras que aparecen en la publicación figuran 21,8 millones de registros de direcciones, 3,95 millones de correos electrónicos, 3,31 millones de fotografías, 18,74 millones de registros judiciales o legales detallados y otros 8,1 millones de registros judiciales.

El listado también asegura contener 374,6 millones de registros salariales, 9,95 millones de registros ciudadanos, 3,52 millones de registros vehiculares, 3,39 millones de registros de beneficiarios finales, 13,45 millones de registros telefónicos y 2 millones de registros matrimoniales. Ninguna de estas cantidades ha sido verificada de manera independiente.

El especialista en ciberseguridad Esteban Jiménez alertó sobre la publicación y señaló que el material ofrecido supuestamente reúne información personal, financiera, legal, laboral, patrimonial y vehicular, además de fotografías de ciudadanos costarricenses.

Las cantidades anunciadas superan en varios casos la población de Costa Rica, cercana a los cinco millones de habitantes. Esto no significa necesariamente que correspondan a esa cantidad de personas, pues podrían tratarse de filas de bases de datos que incluyen información histórica, registros duplicados y múltiples entradas asociadas con una misma persona.

Como parte de la muestra que el actor de amenazas utiliza para respaldar su afirmación aparece información relacionada con la presidenta Laura Fernández. Según Jiménez, entre los datos publicados figuran referencias a dónde reside y a propiedades que presuntamente mantiene. El especialista consideró llamativo que se haya utilizado información de la mandataria como muestra frente al volumen de datos que se ofrece.

Los investigadores manejan, por ahora, dos posibles orígenes del material. Una de las hipótesis apunta a una base de datos perteneciente a una empresa de información crediticia, debido a que este tipo de compañías concentra datos de identidad, empleo y endeudamiento de sus clientes.

La segunda posibilidad estaría relacionada con la estructura de información del Registro de Transparencia y Beneficiarios Finales (RTBF) del Banco Central. Este registro obliga a las sociedades y fideicomisos privados inscritos en Costa Rica a declarar quiénes son las personas físicas que poseen o controlan dichas estructuras.

Las declaraciones del RTBF se realizan anualmente mediante la plataforma Central Directo del Banco Central y requieren una tarjeta de firma digital. El registro fue creado para apoyar acciones contra el fraude fiscal, el lavado de dinero y el financiamiento del terrorismo, por lo que concentra información sobre las personas que ejercen la propiedad o control de determinadas estructuras jurídicas.

Jiménez indicó que analistas están descargando parte de la muestra publicada para compartirla con otros especialistas y compararla con estructuras de bases de datos conocidas. También señaló que en el material aparecen fotografías de documentos de identidad, un elemento que incrementaría la gravedad de la eventual filtración si se confirma su autenticidad.

Pese a las verificaciones que se realizan, el especialista insistió en que el análisis permanece en una etapa investigativa y que será necesario contar con más material para determinar con mayor precisión qué información se encuentra realmente circulando.

Hasta la mañana de este lunes, ni el Banco Central ni la Agencia de Protección de Datos de los Habitantes (PRODHAB) habían emitido públicamente una posición sobre la publicación. Por ahora, tanto el origen de los datos como la verdadera magnitud de la supuesta filtración permanecen sin confirmar.

Costa Rica ya enfrentó un escenario de gran escala en materia de ciberseguridad. En abril de 2022, el ataque de ransomware atribuido a Conti afectó los sistemas del Ministerio de Hacienda y provocó interrupciones durante semanas en servicios relacionados con aduanas y recaudación tributaria. Aquella situación llevó al país a emitir una declaratoria de emergencia nacional por un ciberataque, un antecedente que marca el contexto de la actual investigación.

Mientras las autoridades determinan si los datos son reales, reciclados de filtraciones anteriores o incluso parcialmente falsificados, se recomienda mantener precaución ante contactos inesperados. Una llamada, mensaje o comunicación en la que un supuesto funcionario ya conozca datos personales no debe considerarse automáticamente legítima.

Los bancos, instituciones públicas y SINPE Móvil no solicitan por teléfono, WhatsApp o mensajes de texto el número completo de una tarjeta, códigos de un solo uso o el PIN. Tampoco se recomienda abrir enlaces enviados mediante mensajes que aseguren que la persona aparece en una supuesta base de datos filtrada.

Las autoridades también advierten sobre posibles estafas posteriores a la publicación de una filtración. Entre ellas pueden aparecer personas que cobren dinero a cambio de supuestamente eliminar registros personales de una base de datos.

Como medida preventiva, se recomienda activar la autenticación de dos factores en el correo electrónico y las cuentas bancarias, además de cambiar las contraseñas que hayan sido reutilizadas en más de un servicio. También es conveniente solicitar alertas bancarias ante la apertura de nuevos productos a nombre del usuario y consultar los registros que mantienen las agencias de información crediticia.

Los propietarios de bienes inmuebles pueden revisar periódicamente sus datos en el Registro Nacional para detectar anotaciones, gravámenes o poderes que no reconozcan. La combinación de documentos de identidad e información sobre propiedades puede ser utilizada en intentos de fraude mediante poderes falsificados o utilizados de manera indebida.

Quienes realizan declaraciones corporativas también deben proteger su tarjeta y PIN de firma digital, manteniéndolos separados y bajo resguardo. Los posibles casos de uso indebido de información personal pueden ser reportados al OIJ, mientras que las denuncias relacionadas con el tratamiento de datos personales corresponden a PRODHAB.