Foto: Internet

La empresa de seguridad Gambir Security informó que un hacker logró extraer aproximadamente 150 gigabytes de datos sensibles de diversas dependencias del gobierno mexicano, utilizando principalmente el modelo de inteligencia artificial Claude, de Anthropic, y en menor medida GPT-4.1, de OpenAI

La empresa detectó que la filtración de información se prolongó alrededor de un mes, desde finales de diciembre de 2025 hasta enero de 2026. Agregó que el atacante comprometió al menos 10 organismos gubernamentales y una institución financiera, exponiendo cerca de 195 millones de identidades y sustrayendo información como registros fiscales del Servicio de Administración Tributaria (SAT), actas del Registro Civil, datos del padrón del Instituto Nacional Electoral (INE), credenciales de empleados públicos y archivos de gobiernos estatales como Estado de México, Jalisco, Michoacán y Tamaulipas, además del Registro Civil de la Ciudad de México y los Servicios de Agua y Drenaje de Monterrey.

El hacker, que habría actuado de manera individual según los investigadores, empleó técnicas para burlar las medidas de seguridad de asistente de inteligencia artificial Claude; inicialmente intentó convencer al modelo de que realizaba pruebas legítimas de penetración bajo un supuesto programa de recompensas por fallas, pero al ser rechazado por pedir eliminar registros y borrar historial, cambió de estrategia proporcionando un manual detallado de pasos.

Lo cual permitió generar más de mil indicaciones que incluyeron identificación de vulnerabilidades, escritura de scripts de explotación y automatización de la extracción de datos. Incluso construyó un sistema automatizado para falsificar certificados fiscales en tiempo real. Posteriormente, usó GPT-4.1 para analizar la información robada y generar miles de reportes detallados con planes de ataque, recomendando objetivos internos y credenciales específicas a utilizar.

Al respecto, Curtis Simpson, director de estrategia de Gambit Security, señaló que el objetivo parecía ser comprometer la mayor cantidad posible de entidades gubernamentales.

Hasta el momento, el incidente no ha sido atribuido a un grupo específico ni se conocen con certeza los motivos detrás de la recolección masiva de datos. Las autoridades mexicanas no han confirmado directamente estos hechos, aunque a finales del año pasado la Secretaría Anticorrupción y Buen Gobierno abrió investigaciones por posibles exposiciones de bases de datos.

Mientras tanto, Anthropic y OpenAI iniciaron indagatorias internas, suspendieron la actividad detectada y bloquearon las cuentas involucradas.

Finalmente, la empresa resaltó que el caso destaca las vulnerabilidades en la ciberseguridad del gobierno mexicano y reaviva el debate sobre el uso malicioso de modelos de inteligencia artificial para acelerar ataques cibernéticos sofisticados.