Bastó con escribir un número de teléfono para ver el CURP, el RFC y el correo de millones de mexicanos: así de expuesta está hoy tu identidad digital
Imagina un formulario público, sin usuario ni contraseña, donde lo único que hace falta para ver el nombre completo, el CURP, el RFC y el correo electrónico de cualquier persona es teclear su número de celular. No es un escenario hipotético: es exactamente lo que el periodista Ignacio Gómez Villaseñor documentó el 9 de enero de 2026 en el portal oficial de Telcel, apenas horas después de que entrara en vigor el registro obligatorio de líneas móviles en México.
La falla permitía consultar datos personales de millones de clientes sin ningún código de verificación. Este caso no fue un hecho aislado: es el síntoma más visible de un año en el que, según cifras oficiales, México acumuló más de 43,000 incidentes de ciberseguridad y vio comprometidas instituciones tan distintas como la UNAM, el IMSS y el SAT.
Un número de teléfono, la única llave que hacía falta
Según la denuncia pública de Gómez Villaseñor, el portal de Telcel exponía datos de identidad, CURP, RFC y correo electrónico con solo introducir un número telefónico, sin solicitar contraseña ni código de verificación adicional.
La primera respuesta de la empresa fue un comunicado ambiguo que aseguraba que los datos estaban protegidos. Horas después, Renato Flores, subdirector de comunicación de Telcel, reconoció en una entrevista de radio que “hubo una vulnerabilidad técnica” y que se corrigió de inmediato.
La empresa sostuvo que los usuarios solo podían consultar su propia información, pero el periodista publicó un video que, según él, demostraría lo contrario.
Más allá de quién tenga la razón técnica final, el episodio expone un problema de diseño que cualquier empresa con una plataforma de atención a clientes debería tomarse personalmente: un sistema de verificación de identidad que depende únicamente de un dato público y fácil de obtener, como un número telefónico, no es realmente una verificación.
La UNAM, 380,000 cuentas expuestas y una factura que nunca se pagó
Apenas unos días antes, entre el 31 de diciembre de 2025 y el 1 de enero de 2026, la UNAM sufrió lo que terminaría siendo uno de los incidentes más comentados del año.
La universidad confirmó oficialmente un acceso no autorizado a 5 de sus más de 100,000 sistemas informáticos y aseguró que no se había extraído información personal. Sin embargo, de acuerdo con la investigación del mismo periodista, un atacante identificado como “ByteToBreach” habría accedido a datos de más de 380,000 estudiantes y académicos, incluidas matrículas, correos institucionales y contraseñas cifradas. También se reportó la exposición de denuncias de acoso laboral, presuntos casos de plagio académico y comunicaciones internas de la oficina del rector.
Es importante distinguir lo confirmado de lo que no lo está: estas cifras provienen del trabajo periodístico, no de un reconocimiento oficial de la UNAM.
El ataque habría explotado una vulnerabilidad crítica conocida, identificada como CVE-2025-66478, en servidores Next.js, y no fue el primero: la universidad ya había detectado un acceso ilícito previo el 13 de marzo de 2025 y presentó una denuncia ante la Fiscalía General de la República que, según los reportes, no avanzó.
Un detalle adicional, documentado en una carta interna de septiembre de 2025, añade una capa incómoda a la historia: los ingenieros y desarrolladores responsables de la infraestructura tecnológica llevaban meses sin cobrar su salario debido a “procesos de auditoría” internos, justo en el periodo previo al ataque definitivo.
Ya sea causa, coincidencia o simplemente un síntoma más de instituciones que subestiman a su propio equipo técnico, la lección es la misma: la ciberseguridad de una organización no depende solo de qué tan buena sea su tecnología, sino también de qué tan bien cuidada esté la gente que la mantiene funcionando.
El negocio detrás de las filtraciones: un comerciante que no distingue de fronteras
Según la firma de inteligencia de amenazas SOCRadar, “ByteToBreach” opera como comerciante de bases de datos robadas desde al menos junio de 2025 y está vinculado a filtraciones en aerolíneas, bancos, instituciones gubernamentales y sistemas de salud de varios países.
En México se le atribuye, además del caso de la UNAM, un ataque a la aplicación Factura SAT Móvil en diciembre de 2025, que el SAT negó públicamente, pese a las pruebas técnicas presentadas por el propio atacante.
Entre septiembre de 2025 y enero de 2026 se documentó, según reportes periodísticos, al menos una decena de incidentes graves en instituciones mexicanas, con indicios de filtraciones en el IMSS, el Servicio Nacional de Empleo, la Secretaría de Educación de Chiapas y la Comisión Federal de Electricidad, entre otras.
A esto se suma el caso de Aeroméxico, anunciado el 20 de septiembre de 2026 por la Secretaría Anticorrupción y Buen Gobierno: más de 15 millones de registros fueron ofrecidos en un canal de Telegram, de los cuales se logró analizar una muestra de 100,092.
La magnitud del problema, en números duros
De acuerdo con cifras del INEGI citadas por la firma Salles Sainz Grant Thornton, México acumuló 43,116 incidentes de ciberseguridad en los últimos dos años, de los cuales el 79% ocurrió en el sector privado.
El 95.4% de las 5.47 millones de unidades económicas del sector privado y empresas estatales del país son microempresas, según los Censos Económicos 2024 del INEGI. Esto significa que una gran parte del tejido empresarial tiene recursos limitados para absorber las consecuencias de un incidente de este tipo.
El costo promedio de recuperación de un ataque de ransomware en México, sin contar el pago del rescate, se ubica en 1.35 millones de dólares, según el reporte State of Ransomware 2025 de Sophos.
A nivel regional, el Banco Mundial documentó que los incidentes cibernéticos graves y divulgados públicamente en América Latina y el Caribe han crecido un 25% anual durante la última década.
Por qué esto debería importarte aunque no seas la UNAM ni Telcel
Tu empresa quizá no administra los sistemas de una universidad con más de cien mil servidores ni gestiona el registro de líneas móviles de todo un país. Pero el patrón detrás de ambos casos también se repite, a menor escala, en miles de negocios mexicanos todos los días: sistemas de verificación de clientes que dependen de un solo dato fácil de adivinar, vulnerabilidades conocidas que pasan meses sin corregirse y equipos técnicos que operan sin el respaldo ni los recursos que necesitan.
La diferencia entre que un atacante como “ByteToBreach” toque la puerta de tu negocio y se vaya con las manos vacías, o se lleve la base de datos completa de tus clientes, casi nunca está en la sofisticación del atacante.
Está en si alguien, dentro de tu empresa, se tomó el tiempo de cerrar esa puerta antes de que la tocaran.
Si quieres hablar con un especialista sobre qué tan sólida es realmente la verificación de identidad de tus clientes y qué tan actualizados están los parches de tus sistemas, podemos conversarlo.
En un país donde los incidentes de ciberseguridad ya se cuentan por decenas de miles, la pregunta no es si alguien intentará atacar a tu empresa, sino qué tan fácil se lo pondrías.
Filtración de datos en México: el caso Telcel y la exposición de tu identidad digital
Bastó con escribir un número de teléfono para ver el CURP, el RFC y el correo de millones de mexicanos: así de expuesta está hoy tu identidad digital
Imagina un formulario público, sin usuario ni contraseña, donde lo único que hace falta para ver el nombre completo, el CURP, el RFC y el correo electrónico de cualquier persona es teclear su número de celular. No es un escenario hipotético: es exactamente lo que el periodista Ignacio Gómez Villaseñor documentó el 9 de enero de 2026 en el portal oficial de Telcel, apenas horas después de que entrara en vigor el registro obligatorio de líneas móviles en México.
La falla permitía consultar datos personales de millones de clientes sin ningún código de verificación. Este caso no fue un hecho aislado: es el síntoma más visible de un año en el que, según cifras oficiales, México acumuló más de 43,000 incidentes de ciberseguridad y vio comprometidas instituciones tan distintas como la UNAM, el IMSS y el SAT.
Un número de teléfono, la única llave que hacía falta
Según la denuncia pública de Gómez Villaseñor, el portal de Telcel exponía datos de identidad, CURP, RFC y correo electrónico con solo introducir un número telefónico, sin solicitar contraseña ni código de verificación adicional.
La primera respuesta de la empresa fue un comunicado ambiguo que aseguraba que los datos estaban protegidos. Horas después, Renato Flores, subdirector de comunicación de Telcel, reconoció en una entrevista de radio que “hubo una vulnerabilidad técnica” y que se corrigió de inmediato.
La empresa sostuvo que los usuarios solo podían consultar su propia información, pero el periodista publicó un video que, según él, demostraría lo contrario.
Más allá de quién tenga la razón técnica final, el episodio expone un problema de diseño que cualquier empresa con una plataforma de atención a clientes debería tomarse personalmente: un sistema de verificación de identidad que depende únicamente de un dato público y fácil de obtener, como un número telefónico, no es realmente una verificación.
La UNAM, 380,000 cuentas expuestas y una factura que nunca se pagó
Apenas unos días antes, entre el 31 de diciembre de 2025 y el 1 de enero de 2026, la UNAM sufrió lo que terminaría siendo uno de los incidentes más comentados del año.
La universidad confirmó oficialmente un acceso no autorizado a 5 de sus más de 100,000 sistemas informáticos y aseguró que no se había extraído información personal. Sin embargo, de acuerdo con la investigación del mismo periodista, un atacante identificado como “ByteToBreach” habría accedido a datos de más de 380,000 estudiantes y académicos, incluidas matrículas, correos institucionales y contraseñas cifradas. También se reportó la exposición de denuncias de acoso laboral, presuntos casos de plagio académico y comunicaciones internas de la oficina del rector.
Es importante distinguir lo confirmado de lo que no lo está: estas cifras provienen del trabajo periodístico, no de un reconocimiento oficial de la UNAM.
El ataque habría explotado una vulnerabilidad crítica conocida, identificada como CVE-2025-66478, en servidores Next.js, y no fue el primero: la universidad ya había detectado un acceso ilícito previo el 13 de marzo de 2025 y presentó una denuncia ante la Fiscalía General de la República que, según los reportes, no avanzó.
Un detalle adicional, documentado en una carta interna de septiembre de 2025, añade una capa incómoda a la historia: los ingenieros y desarrolladores responsables de la infraestructura tecnológica llevaban meses sin cobrar su salario debido a “procesos de auditoría” internos, justo en el periodo previo al ataque definitivo.
Ya sea causa, coincidencia o simplemente un síntoma más de instituciones que subestiman a su propio equipo técnico, la lección es la misma: la ciberseguridad de una organización no depende solo de qué tan buena sea su tecnología, sino también de qué tan bien cuidada esté la gente que la mantiene funcionando.
El negocio detrás de las filtraciones: un comerciante que no distingue de fronteras
Según la firma de inteligencia de amenazas SOCRadar, “ByteToBreach” opera como comerciante de bases de datos robadas desde al menos junio de 2025 y está vinculado a filtraciones en aerolíneas, bancos, instituciones gubernamentales y sistemas de salud de varios países.
En México se le atribuye, además del caso de la UNAM, un ataque a la aplicación Factura SAT Móvil en diciembre de 2025, que el SAT negó públicamente, pese a las pruebas técnicas presentadas por el propio atacante.
Entre septiembre de 2025 y enero de 2026 se documentó, según reportes periodísticos, al menos una decena de incidentes graves en instituciones mexicanas, con indicios de filtraciones en el IMSS, el Servicio Nacional de Empleo, la Secretaría de Educación de Chiapas y la Comisión Federal de Electricidad, entre otras.
A esto se suma el caso de Aeroméxico, anunciado el 20 de septiembre de 2026 por la Secretaría Anticorrupción y Buen Gobierno: más de 15 millones de registros fueron ofrecidos en un canal de Telegram, de los cuales se logró analizar una muestra de 100,092.
La magnitud del problema, en números duros
De acuerdo con cifras del INEGI citadas por la firma Salles Sainz Grant Thornton, México acumuló 43,116 incidentes de ciberseguridad en los últimos dos años, de los cuales el 79% ocurrió en el sector privado.
El 95.4% de las 5.47 millones de unidades económicas del sector privado y empresas estatales del país son microempresas, según los Censos Económicos 2024 del INEGI. Esto significa que una gran parte del tejido empresarial tiene recursos limitados para absorber las consecuencias de un incidente de este tipo.
El costo promedio de recuperación de un ataque de ransomware en México, sin contar el pago del rescate, se ubica en 1.35 millones de dólares, según el reporte State of Ransomware 2025 de Sophos.
A nivel regional, el Banco Mundial documentó que los incidentes cibernéticos graves y divulgados públicamente en América Latina y el Caribe han crecido un 25% anual durante la última década.
Por qué esto debería importarte aunque no seas la UNAM ni Telcel
Tu empresa quizá no administra los sistemas de una universidad con más de cien mil servidores ni gestiona el registro de líneas móviles de todo un país. Pero el patrón detrás de ambos casos también se repite, a menor escala, en miles de negocios mexicanos todos los días: sistemas de verificación de clientes que dependen de un solo dato fácil de adivinar, vulnerabilidades conocidas que pasan meses sin corregirse y equipos técnicos que operan sin el respaldo ni los recursos que necesitan.
La diferencia entre que un atacante como “ByteToBreach” toque la puerta de tu negocio y se vaya con las manos vacías, o se lleve la base de datos completa de tus clientes, casi nunca está en la sofisticación del atacante.
Está en si alguien, dentro de tu empresa, se tomó el tiempo de cerrar esa puerta antes de que la tocaran.
Si quieres hablar con un especialista sobre qué tan sólida es realmente la verificación de identidad de tus clientes y qué tan actualizados están los parches de tus sistemas, podemos conversarlo.
En un país donde los incidentes de ciberseguridad ya se cuentan por decenas de miles, la pregunta no es si alguien intentará atacar a tu empresa, sino qué tan fácil se lo pondrías.
Síguenos en todas nuestras redes:
Facebook: https://www.facebook.com/CareTelecom
Twitter: https://twitter.com/caretelecom?
Linkedin: https://www.linkedin.com/company/care-telecom/
Correo: info@caretelecom.com
Instagram: https://instagram.com/caretelecom?
Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA
Categorías Populares
Instagram Feeds
[instagram-feed]
Popular Tags
Archivos
Nuestros Servicios