El Estado argentino nunca ha priorizado la ciberseguridad, según un informe reciente que destaca una serie de filtraciones que involucran a múltiples organismos públicos. Durante los últimos 20 años, las palabras como «ciberseguridad», «seguridad informática» o «seguridad de la información» han sido utilizadas por políticos y dirigentes sin comprometerse con su implementación real.
Nota para monos entrenados: este problema no se limita a un gobierno en particular, sino que afecta al Estado argentino como institución. La desidia hacia la ciberseguridad es una característica generalizada.
Este caso se suma a otros que han expuesto las deficiencias del Estado en materia de seguridad digital. En 2021, hubo filtraciones que involucraron al ReNaPer y los datos de identidad de ciudadanos argentinos. A pesar de la evidencia tangible, el organismo ha negado repetidamente dichas filtraciones, incluso cuando se presentaban archivos con fotos de DNIs publicados en Internet.
Esta actitud se repitió durante 2022, 2023 y 2024, afectando a sistemas como SISA (salud), DNRPA y otros organismos. La situación se ha agravado recientemente con la publicación de una base de datos que incluye 65 millones de registros de DNI en un dominio ONION de la Deep Web.
La noticia «nueva» es que, junto a los datos personales, también se han filtrado el código fuente PHP de aplicaciones internas del ReNaPer, así como las APIs y servicios utilizados por otras organizaciones, empresas, bancos, fintech, supermercados, obras sociales, entre otros. Estos datos permiten verificar la identidad de una persona.
Además se revelaron:
- Direcciones IPs de servidores internos;
- Nombres de usuario y contraseñas para acceder a las bases de datos del organismo.
El código fuente incluye vulnerabilidades como SQLi y XSS, lo que expone los riesgos asociados al sistema. Aunque los datos se publicaron hoy, no significa que hayan sido extraídos recientemente. Tampoco implica que el delincuente haya sido detectado o bloqueado.
Se observa la presencia de una webshell, lo cual sugiere que el acceso fue obtenido con técnicas complejas y que puede haber persistencia en los sistemas. Los archivos de código fuente datan de julio de 2022, mientras que los SQL robados fueron grabados a disco el 9 de marzo de 2024.
En conclusión, los datos personales de todos los ciudadanos argentinos están ahora disponibles en Internet. Las empresas deben revisar sus accesos a las APIs relacionadas con ReNaPer, mientras que los ciudadanos no tienen una solución clara: cambiar el DNI no es una opción viable, ya que la mayoría de los datos personales permanecen inalterados.
Las implicancias de esta fuga aún están por verse. Sin embargo, se espera que el Estado argentino tome acciones para investigar y encontrar a los responsables, tanto internos como externos. Es necesario que comience a considerar la ciberseguridad como una política de Estado.
Mensaje para ReNaPer: No nieguen el problema, informen, digan la verdad y veamos cómo seguir desde aquí. El Estado es responsable.