El 28 de julio salió a la luz un incidente que colocó bajo escrutinio la capacidad del Gobierno de México para proteger uno de los activos más delicados de cualquier administración pública: la información entregada por ciudadanos que recurren al Estado para denunciar delitos, corrupción, abusos de autoridad y otras situaciones que ponen en riesgo su integridad o la de sus comunidades.
Un ciberatacante publicó lo que presuntamente sería una base de datos del Sistema Integral de Atención Ciudadana (SIDAC) de la Presidencia de la República, plataforma oficial destinada a recibir, registrar y canalizar solicitudes, denuncias, quejas y propuestas hacia distintas dependencias federales. De acuerdo con la información difundida por el propio atacante, el conjunto contendría más de 400 mil registros y datos particularmente sensibles.
El problema no se limita al volumen de información presuntamente expuesta. La gravedad radica en su naturaleza. Entre los reportes habría denuncias relacionadas con homicidios, narcotráfico, extorsión, corrupción, abuso de autoridad y otros delitos, además de datos de ciudadanos que acudieron a las instituciones para solicitar ayuda, protección o la intervención de las autoridades.
La información también permitiría identificar a qué dependencia fue canalizado cada asunto. Esto podría revelar no solo la identidad o ubicación de denunciantes y víctimas, sino también detalles sobre la manera en que el aparato gubernamental recibió y procesó determinados casos.
Según los datos difundidos, entre las instituciones con más registros presuntamente comprometidos se encuentran la Secretaría de Gobernación, con 55 mil 446; la Secretaría de Bienestar, con 24 mil 341; la Secretaría de Educación Pública, con 23 mil 686; el Gobierno de la Ciudad de México, con 19 mil 789; la Comisión Nacional de Vivienda, con 17 mil 562, y el Instituto Mexicano del Seguro Social, con 14 mil 386.
A ellas se sumarían numerosas dependencias y organismos, entre ellos las secretarías de Infraestructura, Comunicaciones y Transportes; Anticorrupción y Buen Gobierno; Desarrollo Agrario, Territorial y Urbano; Seguridad y Protección Ciudadana; Trabajo y Previsión Social; Salud; Hacienda y Crédito Público, y Agricultura y Desarrollo Rural. También figurarían el ISSSTE, Pemex, la CFE, el Infonavit, la Procuraduría Agraria, la Conagua y más de medio centenar de instituciones públicas.
La dimensión del incidente obliga a dejar de verlo como una simple filtración de información administrativa. Si el contenido difundido corresponde efectivamente a registros del SIDAC y el volumen señalado es correcto, estaríamos ante una posible exposición masiva de datos que los ciudadanos entregaron al Estado bajo la expectativa razonable de que serían protegidos.
Una persona que denuncia narcomenudeo, extorsión, corrupción o la posible participación de servidores públicos en actividades criminales no está proporcionando información trivial. En muchos casos, pone en manos de la autoridad datos que pueden comprometer su seguridad, la de su familia o incluso su vida.
Expedientes que exponen la dimensión del riesgo
El material revisado contiene ejemplos que permiten dimensionar el problema. Entre ellos aparece una denuncia presentada en enero de 2024 desde el Estado de México por presunto narcomenudeo en la Unidad San Pablo III, así como otra relacionada con una supuesta extorsión en la misma entidad. También figura un caso de Veracruz en el que se denunciaban presuntos delitos de secuestro y extorsión atribuidos a policías de la región.
En San Luis Potosí se documentó una solicitud de apoyo por presunta persecución, extorsión, tentativa de secuestro, robo, despojo y posibles actos de corrupción y colusión con el crimen organizado. El expediente incluía, además, una petición de protección para la persona denunciante.
Otros registros son todavía más preocupantes. En Los Cabos, Baja California Sur, aparece una solicitud de intervención relacionada con el presunto despojo de un inmueble por personas vinculadas con el narcomenudeo.
En el Estado de México, una petición de asesoría y acompañamiento por supuestos delitos de huachicoleo y narcotráfico pedía expresamente discreción debido a posibles nexos con autoridades municipales. Esa petición de reserva, precisamente, habría quedado anulada por la exposición de los datos.
También aparecen denuncias de mayor complejidad y riesgo. Una presentada en febrero de 2025 en Morelos hacía referencia a presuntas actividades de narcotráfico, amenazas y una supuesta red de protección dentro del Poder Judicial estatal. La persona denunciante señalaba incluso que cuatro abogados habían dejado de llevar su caso.
En otro expediente, correspondiente a Mexicali, se reportaban supuestas anomalías relacionadas con la posesión de un predio y se acusaba a exservidores públicos y personal de la Fiscalía de Baja California. Los señalamientos incluían presiones y un presunto intento de involucrar a la promovente en delitos contra la salud.
La exposición tampoco se limitaría a casos individuales. En abril de 2025, un registro reunió solicitudes relacionadas con presuntas agresiones de narcotraficantes en Guanajuato, apoyos económicos, programas sociales, vivienda y propuestas ambientales.
En mayo, otro expediente hizo referencia a una denuncia anónima por supuesta delincuencia organizada y narcomenudeo en un fraccionamiento de Ecatepec. En ambos casos, la presencia de información vinculada con delitos de alto impacto vuelve especialmente delicada cualquier vulneración de la base de datos.
Más sensibles aún son los registros correspondientes a julio y septiembre de 2025. Uno incluía acusaciones de narcotráfico, posible colusión entre grupos criminales y autoridades de distintos niveles de gobierno, así como señalamientos sobre tráfico de fentanilo y presuntos vínculos con empresas instaladas en Guanajuato.
Otro expediente, presentado en Yucatán, refería supuestos actos de corrupción, amenazas y complicidad entre policías municipales y grupos dedicados al narcomenudeo. También contenía amenazas de muerte contra el denunciante y una solicitud de protección para él y su familia.
En estos casos, la confidencialidad no es un detalle burocrático: es una medida elemental de protección. La posible filtración convertiría un mecanismo institucional de denuncia en una fuente de vulnerabilidad para quienes recurrieron a él.
De la filtración digital al riesgo físico
Las consecuencias pueden ir mucho más allá de la publicación de una base de datos. La información auténtica de los expedientes podría utilizarse para diseñar campañas de phishing y spear phishing dirigidas específicamente contra denunciantes; facilitar la suplantación de identidad; alimentar fraudes y extorsiones; identificar a personas que denunciaron a grupos criminales o funcionarios; poner en riesgo investigaciones administrativas y penales, y permitir que terceros conozcan quiénes solicitaron protección o intervención gubernamental.
En los escenarios más graves, los datos podrían convertirse en una herramienta de intimidación o represalia.
Existe, además, un daño institucional difícil de cuantificar. ¿Qué ciudadano estará dispuesto a denunciar corrupción, narcotráfico, extorsión o abuso de autoridad si existe la posibilidad de que sus datos terminen en manos de quienes precisamente está señalando?
Un sistema de atención ciudadana depende de una premisa elemental: que la persona que proporciona información al Estado puede confiar en que será tratada con las medidas de seguridad correspondientes. Cuando esa confianza se rompe, el daño alcanza a todo el mecanismo de denuncia.
La responsabilidad no puede reducirse a identificar al atacante. Una intrusión cibernética puede ser ejecutada por terceros, pero la obligación de proteger la información recopilada por el Estado corresponde a las instituciones que la administran. La pregunta central no es únicamente quién sustrajo o publicó los datos, sino cómo fue posible que información tan delicada quedara expuesta; qué controles fallaron; cuánto tiempo permaneció vulnerable; qué datos fueron efectivamente extraídos, y qué medidas se habían aplicado para impedirlo.
Las autoridades competentes deben determinar con precisión el alcance de la vulneración, preservar la evidencia digital, realizar un análisis forense independiente, contener cualquier acceso no autorizado y evaluar de inmediato los riesgos particulares para las personas cuyos datos pudieran haber sido comprometidos.
También deben informar a los posibles afectados de manera clara y oportuna, especialmente cuando existan indicios de que su seguridad está en peligro. La transparencia, en este contexto, no significa volver a divulgar los datos sensibles. Significa explicar qué ocurrió, qué información resultó afectada, qué medidas se adoptaron y cómo se determinarán las responsabilidades.
El Estado debe responder a quienes confiaron en él
Quienes utilizaron el SIDAC no acudieron a una plataforma clandestina ni entregaron voluntariamente sus datos a un tercero. Recurrieron a una institución pública porque confiaron en que el Estado podía recibir sus denuncias y proteger la información proporcionada. Esa confianza impone al gobierno un estándar de responsabilidad mucho más alto.
La posible filtración representa algo más grave que una falla tecnológica. Es una advertencia sobre las consecuencias de un Estado que pide a sus ciudadanos confiar en las instituciones, pero no demuestra que sea capaz de proteger aquello que le confían.
Si una persona denuncia narcotráfico, corrupción, extorsión, secuestro o complicidad de funcionarios y termina expuesta por una vulneración de los sistemas gubernamentales, el mensaje para la sociedad es devastador: denunciar puede poner en peligro a quien denuncia.
El gobierno tiene la obligación de esclarecer el caso hasta sus últimas consecuencias. No basta con investigar al atacante ni con minimizar el incidente como un episodio más de ciberseguridad. Debe establecerse quién era responsable de custodiar la información, qué controles existían, cuáles fallaron, qué datos fueron comprometidos, durante cuánto tiempo estuvieron expuestos y por qué quienes solicitaron ayuda terminaron potencialmente más vulnerables después de acudir a las instituciones.
La protección de los datos de un denunciante no es un privilegio ni una cortesía administrativa. Es una obligación del Estado y, en determinados casos, una cuestión de seguridad y supervivencia.
Si las autoridades no pueden garantizarla, no solo están perdiendo información: están destruyendo uno de los pilares de cualquier política eficaz contra la corrupción y el crimen, la confianza ciudadana.
Un gobierno que exhorta a denunciar, pero no protege a quienes lo hacen, incurre en una contradicción que no puede normalizarse. El ciudadano no debe pagar con su seguridad el precio de la incapacidad institucional.
Si la información del SIDAC efectivamente fue sustraída y expuesta en la magnitud señalada, la sociedad merece explicaciones, responsabilidades y medidas de reparación. Sobre todo, merece la garantía de que acudir al Estado para denunciar un delito no terminará convirtiéndose en una sentencia de vulnerabilidad para quien tuvo el valor de hacerlo.
* Víctor Ruiz. Fundador de SILIKN | Emprendedor Tecnológico | Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro | Líder del Capítulo Querétaro de OWASP | CyberOps Associate (CCNA CyberOps) | NIST Cybersecurity Framework 2.0 Certified Expert (CSFE) | (ISC)² Certified in Cybersecurity℠ (CC) | Cyber Security Certified Trainer (CSCT™) | EC-Council Ethical Hacking Essentials (EHE) | EC-Council Certified Cybersecurity Technician (CCT) | Cisco Ethical Hacker & Cybersecurity Analyst.
X: https://x.com/victor ruiz
Instagram: https://www.instagram.com/silikn
YouTube: https://www.youtube.com/@silikn7599
** Las expresiones emitidas en esta columna son responsabilidad de quien las escribe y no necesariamente coinciden con la línea editorial de Infobae México, respetando la libertad de expresión de expertos.
