top of page
Buscar

Cinco incidentes de ciberseguridad en México y el perfil que dejaron en evidencia

Foto del escritor: Angel Rossio Millán
Angel Rossio Millán
hace 3 días
3 min de lectura

Actualizado: hace 1 día

Un incidente de ciberseguridad deja un costo y también una pregunta: ¿quién faltaba en el equipo? Repasamos cinco casos públicos en México: qué pasó, qué consecuencias tuvo y qué perfil quedó en evidencia. Solo en uno la consecuencia fue una regla que obliga a tener un puesto. En los demás, lo que quedó fue la lección.


1. SPEI, 2018: el que cambió la regla

Entre abril y mayo de 2018 atacaron los sistemas con los que cinco participantes (bancos, casas de bolsa y otras entidades) se conectaban al SPEI, no el SPEI central. Según Banxico, salieron cerca de 300 millones de pesos de las cuentas de esos participantes. No se tocaron cuentas de clientes.

Consecuencias:

  • Los participantes de mayor riesgo pasaron a una plataforma de contingencia y los pagos se hicieron más lentos.

  • Banxico creó una Dirección de Ciberseguridad y en 2019 abrió procesos de sanción contra 18 instituciones.

  • Con la Circular 11/2018, cada participante debe designar a un oficial de seguridad de la información, independiente de sistemas y de auditoría, nombrado por el director general e informado a Banxico.

Perfil en evidencia: Oficial de Seguridad de la Información. Es el único caso de esta lista en el que el incidente terminó en una obligación de tener el puesto.


2. Pemex, 2019: los parches pendientes

En noviembre de 2019 un ransomware afectó a Pemex. La empresa informó que menos del 5% de sus computadoras resultaron afectadas y que la operación seguía.

Consecuencias:

  • La prensa reportó una petición de rescate de unos 4.9 millones de dólares. La Secretaría de Energía dijo que no se pagaría.

  • Dos semanas después, empleados seguían reportando fallas en el correo externo y en algunos sistemas.

  • La Auditoría Superior de la Federación concluyó que los sistemas obsoletos y los parches sin aplicar contribuyeron al ataque.

Perfil en evidencia: Gestión de Vulnerabilidades y Respuesta a Incidentes.


3. Sedena, 2022: la advertencia que ya existía

En septiembre de 2022 el grupo Guacamaya filtró documentos de la Sedena. El presidente reconoció el ataque y confirmó que era cierta la información publicada sobre su salud.

Consecuencias:

  • Se hizo pública información sensible del Ejército y del propio presidente.

  • Una auditoría previa de la ASF ya había señalado deficiencias en los controles de ciberdefensa, entre ellas que no había procedimiento de respuesta a incidentes ni pruebas de penetración.

  • En diciembre de 2025, la Política General de Ciberseguridad para la Administración Pública Federal pidió que cada dependencia tenga un Responsable Institucional de Ciberseguridad, de preferencia distinto del titular de TI. El documento no menciona a la Sedena.

Perfil en evidencia: Respuesta a Incidentes y Red Team (pruebas de intrusión).


4. Datos de periodistas, 2024: el acceso que nadie cerró

En enero de 2024 se extrajeron los datos personales de 263 periodistas acreditados en la conferencia matutina. Según el gobierno, se usó la cuenta de un extrabajador que había dejado el puesto dos años antes.

Consecuencias:

  • El INAI abrió una investigación y exigió notificar a los afectados. El gobierno les avisó por correo.

  • Gobernación presentó una denuncia ante la FGR.

Perfil en evidencia: Gestión de Identidades y Accesos (IAM). Dar de baja los accesos de quien se va parece básico. Este caso muestra lo que pasa cuando nadie lo revisa.


5. Coppel, 2024: cuando la operación se detiene

En abril de 2024 Coppel confirmó un incidente de seguridad. La tienda en línea y la app quedaron fuera de servicio.

Consecuencias:

  • Once días después, Afore Coppel seguía restableciendo su atención.

  • Coppel anunció que no cobraría intereses moratorios por los pagos que no se pudieron hacer durante la falla.

  • La empresa dijo no tener hallazgos de sustracción de datos.

Perfil en evidencia: Continuidad de Negocio y Recuperación ante Desastres.


Lo que tienen en común

En tres de los cinco casos, la causa ya estaba ahí antes del ataque: parches sin aplicar, controles que una auditoría ya había señalado, una cuenta que nadie dio de baja. Al contratar, conviene preguntar qué herramientas conoce alguien y también de qué era responsable y qué revisaba.

¿Estás buscando alguno de estos perfiles? Cuéntanos qué necesitas en angelrossio@beethon.com


Fuentes

 
 
bottom of page