Hackear ya no es cosa de genios

Imagínate que la cerradura de tu edificio es la misma que tienen siete de cada diez edificios del mundo. Un día alguien descubre que, con un truco, esa cerradura se abre sola. El truco llevaba más de diez años ahí. Y con ayuda de una inteligencia artificial, una sola persona logró en una semana lo que antes le hubiera tomado meses a un equipo de expertos.

Pues eso pasó esta semana, nada más que la cerradura no era de metal. Era PHP, el idioma en el que están hechas un chorro de páginas web. Según Wiz, la empresa que lo descubrió, está detrás de cerca del 70 % de internet. Y no fue lo único: en 72 horas, otras piezas clave de internet también reportaron fallas graves.

Hackeos everywhere, ganzúas para todos

Huecos en el software siempre ha habido. Lo que nos salvaba es que aprovecharlos estaba cañón: necesitabas un equipo de expertos y meses de chamba.

Ya no. Según Wiz, sin IA, convertir estas fallas en un ataque real estaba al límite de lo humanamente posible. La ganzúa ya no la fabrica un experto: la fabrica una máquina. Esta vez el que la hizo era de los buenos y avisó antes. La próxima, quién sabe.

Y los malos ya se pusieron las pilas: según la firma Recorded Future, hoy tardan en promedio 24 horas en aprovechar una falla nueva. El año pasado tardaban 72.

¿Y en México cómo andamos?

La neta, la puerta ya estaba medio abierta desde antes.

• En 2022, un grupo llamado Guacamaya se llevó unos 6 terabytes de correos de la Sedena. El entonces presidente confirmó que el hackeo fue real.
• En enero de 2026, un grupo llamado Chronus aseguró haber sacado más de 2.3 terabytes de 25 instituciones, entre ellas el SAT, el IMSS-Bienestar y la SEP. Según la consultora Grant Thornton, ahí venían datos de unos 36 millones de personas: nombres, direcciones, CURP, RFC y hasta datos médicos.
• Entre enero y junio de este año, México fue el segundo país de América Latina con más ataques de secuestro de información, según la firma SCILabs.

¿Por qué pasa tanto? La misma consultora encontró cosas que dan pena ajena: contraseñas olvidadas en sistemas, equipos de más de 20 años y proveedores que no ponían parches.

Ahora junta las dos cosas: un país con cerraduras viejas y una herramienta que le da ganzúas a cualquiera. El problema ya no es si alguien puede entrar, sino cuántos pueden hacerlo al mismo tiempo. Cualquier loquito con tiempo libre, acceso a un buen modelo de inteligencia artificial y paciencia podría vulnerar sistemas críticos. No es exageración: en 2025, Anthropic, la empresa detrás de la IA Claude, reportó a un delincuente con conocimientos básicos de programación que usó su modelo para fabricar y vender programas de secuestro de datos. Las empresas de IA bloquean muchos intentos, pero la barrera ya bajó un montón.

Tres escenarios que no suenan tan lejanos

1. Fraudes hechos a tu medida. Te llaman “del IMSS” y saben tu CURP y tu dirección. Con IA, la llamada suena perfecta y se repite con millones de personas a la vez.
2. Servicios que se caen. Si secuestran los sistemas de un hospital o una alcaldía, se paran citas, pagos y trámites de gente que no tiene plan B.
3. Nadie sabe qué creer. Si cada filtración se usa para golpear al rival político, la gente deja de confiar en todo, y así es más fácil manipularla.

Ojo, también hay otra mitad: la misma IA ayuda a cerrar puertas, hasta en municipios que nunca pudieron pagar seguridad.

Las preguntas incómodas

Tras el hackeo de enero, el gobierno dijo que no se filtró información sensible y que los sistemas eran viejos y de proveedores privados. Puede ser cierto. Pero entonces: si tu CURP, tu dirección y tu expediente médico no son sensibles, ¿qué sí lo es? Y si el sistema era viejo, ¿quién lo contrató y quién lo dejó así?

Y aguas con el otro extremo: a las empresas de seguridad les conviene tu miedo.

¿Y qué hacemos?

Lo básico, hoy mismo:

1. Si te llaman con urgencia, cuelga y marca tú al número oficial. Que sepan tus datos ya no prueba nada.
2. Acuerden una palabra clave en familia para emergencias. Una voz clonada no la sabe.
3. Activa la verificación en dos pasos en tu correo, tu banco y tu WhatsApp.
4. Actualiza tu celular y tus apps. Ese aviso que siempre pospones trae cerraduras nuevas.

Para checar y denunciar:

• Have I Been Pwned: pones tu correo y te dice si ya salió en alguna filtración (gratis, en inglés).
• CONDUSEF: alertas de fraudes financieros y dónde reclamar si te vacían la cuenta.
• 088: la línea de la Guardia Nacional para reportar delitos cibernéticos.
• Las guías de deconstruir.me: si ya te estafaron, si te robaron el WhatsApp y cómo detectar un fraude.

Lo que viene es una carrera entre quien usa la IA para abrir puertas y quien la usa para cerrarlas. La tecnología es la misma; lo que cambia es quién la tiene y quién se queda sin ella. Te dejo dos preguntas: ¿tu familia sabría distinguir una llamada falsa que ya conoce todos sus datos? ¿Y qué le exigirías al gobierno la próxima vez que se filtre tu información?

Para leer más

• Wiz: la falla de PHP que encontró la IA (en inglés)
• El Universal: el hackeo al SAT y al IMSS
• Infobae: la respuesta del gobierno
• Expansión: el hackeo a la Sedena
• La Jornada: México, segundo lugar en ataques
• Bloomberg: la IA duplica las fallas encontradas (en inglés)
• Anthropic: casos de mal uso de su IA (en inglés)

Esta nota se escribió con ayuda de inteligencia artificial y se revisó contra las fuentes el 22 de octubre de 2026.