Una publicación en el foro ruso XSS, especializado en ciberdelincuencia, destapó recientemente un nuevo caso alarmante de tráfico de documentos personales de mexicanos. Bajo el alias Sosyopat, un usuario ofreció más de 4,500 identificaciones, fotografías de licencias de conducir, imágenes de vehículos, selfies y hasta acceso a paneles administrativos de una empresa mexicana.
El paquete se cotiza en 500 dólares y, según el vendedor, los datos están actualizados y se irán ampliando con el tiempo. Esta revelación surge justo cuando el gobierno mexicano impulsa una polémica reforma para que la CURP se convierta en una identificación oficial con fotografía y huellas digitales obligatorias, lo que ha levantado preocupaciones sobre los riesgos de centralizar datos biométricos.
Analistas detectan la amenaza
Fueron dos analistas de ciberseguridad quienes detectaron y documentaron el hallazgo. Miguel Becerra, especialista chileno en amenazas cibernéticas, lo difundió a través de su cuenta de X (@mbec03), mientras que Nicolás Azuara, investigador mexicano y director de Nico Tech Tips, hizo lo propio en Telegram.
Ambos expertos destacaron que el contenido ofrecido incluye documentos sensibles y que este tipo de filtraciones es común en XSS, donde se ha vuelto recurrente encontrar información de ciudadanos mexicanos junto con filtraciones de bases de datos públicas y privadas.
De XSS a Telegram: el negocio de los datos
Tras revisar a fondo la publicación original, Publimetro México identificó una conexión directa entre el perfil de XSS y un bot de Telegram operado por el mismo usuario. En esta plataforma, el mismo tipo de documentos se ofrece por apenas 3.30 dólares cada uno, con una interfaz automatizada que permite comprar y navegar entre cientos de identificaciones reales, como credenciales del INE, pasaportes y licencias.
Esto confirma que los datos no sólo están siendo ofrecidos como un paquete de alto costo en foros clandestinos, sino que también se comercializan en menudeo, facilitando fraudes a pequeña escala o la suplantación de identidad en procesos bancarios y fiscales.
Riesgo real en tiempos de digitalización obligatoria
Todo esto sucede mientras el gobierno federal estudia dos iniciativas clave: hacer obligatoria una CURP con fotografía y huellas digitales, y revivir un padrón nacional de usuarios de telefonía móvil, similar al PANAUT que fue declarado inconstitucional en 2022 por violar el derecho a la privacidad.
Ambas propuestas han generado preocupaciones entre organizaciones de derechos digitales, quienes alertan sobre la exposición de millones de personas en caso de filtraciones o mal manejo de estas bases de datos. Lo ocurrido con estas identificaciones filtradas en XSS y Telegram es, para muchos, una advertencia viva de lo que podría pasar si se centraliza información tan delicada sin blindajes robustos.
