Una filtración que todavía no ha sido confirmada, pero que nadie debería ignorar…
Este fin de semana, el empresario Víctor Ruíz, publicó información una presunta filtración de aproximadamente 130 GB de información relacionada con el Sistema de Contratistas del Estado de Puebla, atribuida al grupo denominado Ha-ck+ero$. Este grupo ha publicado información de más de 10 estados en el último mes. El enlace publicado por el supuesto grupo conduce a un repositorio en GoFile. Durante la revisión pública del enlace se ha reportado la presencia de 82,621 archivos PDF.
Este dato, por sí mismo, no permite afirmar que los 82,621 documentos sean auténticos y correspondan íntegramente al Gobierno del Estado de Puebla o que hayan sido obtenidos mediante una intrusión reciente. La confirmación técnica requiere un análisis forense y una validación independiente. Sin embargo, existe una coincidencia que hace que el caso deba tomarse con seriedad: el Sistema de Contratistas del Estado de Puebla existe y oficialmente maneja información que es compatible con la naturaleza de la información que se afirma haber obtenido.
El aviso de privacidad del sistema establece que puede tratar información como nombre, domicilio, RFC, CURP, clave de elector, pasaporte, teléfonos, correo electrónico, títulos, cédulas profesionales, referencias laborales, información patrimonial, información fiscal, ingresos, egresos y referencias crediticias.
Por eso, aunque la filtración todavía debe considerarse presunta, el riesgo potencial para las empresas que participan o han participado en este sistema merece atención inmediata.
No estamos recomendando que las empresas asuman que fueron víctimas. Estamos recomendando algo mucho más razonable: que sepan qué hacer si mañana se confirma que lo fueron.
¿Qué significa esto para una empresa?
La primera reacción de muchas empresas podría ser: “Si no está confirmado, no tenemos nada de qué preocuparnos” y ese razonamiento puede resultar costoso.
En ciberseguridad existe una diferencia fundamental entre confirmar un incidente y prepararse ante un riesgo creíble.
Una empresa no necesita esperar a que un atacante publique sus documentos, que una autoridad confirme el incidente o que aparezca información de uno de sus representantes en Internet para comenzar a evaluar su exposición.
Porque una vez que los datos son utilizados para cometer fraude, suplantación o ingeniería social, la empresa ya está reaccionando en lugar de previniendo. Y el tiempo juega a favor del atacante.
82,621 documentos: el número que debería llamar la atención
El supuesto repositorio publicado contiene, según la revisión inicial, 82,621 archivos PDF. Si esos documentos fueran efectivamente parte de expedientes de contratistas, estaríamos hablando potencialmente de una cantidad considerable de información confidencial contenida en un expediente digital.
Durante la revisión pública del enlace publicado se identificó una estructura que enumera los campos que, de acuerdo con la publicación, formarían parte de la información expuesta. La imagen no contiene datos personales de contratistas; muestra únicamente los campos o categorías de información que supuestamente contiene el conjunto de datos.
Un expediente digital puede contener: nombre + RFC + CURP + correo + teléfono + dirección+ identificaciones + comprobantes + documentos fiscales + títulos + cédulas + contratos + información financiera + actas constitutivas.
Este escenario es muy peligroso.
Porque el presunto atacante ya no necesita adivinar quién es el representante legal de una empresa, dónde se encuentra, qué servicios presta o qué relación tiene con una dependencia y sobretodo, su dirección, teléfono, socios y otra información confidencial.
El verdadero riesgo está en la posibilidad de que información legítima sea utilizada para construir ataques dirigidos. Y ahí es donde la filtración de datos se convierte en ciberinseguridad empresarial.
El Informe Global de Ciberseguridad del Foro Económico Mundial (WEF) señala que la ciberinseguridad dejó de ser un problema técnico para convertirse en un riesgo financiero, geopolítico y sistémico crucial que amenaza la estabilidad económica global y la confianza institucional.
Puebla no es un caso aislado
De acuerdo con datos oficiales, durante 2025 el Registro Nacional de Incidentes Cibernéticos contabilizó 92,061 incidentes cibernéticos en México. Entre ellos se registraron 17,281 casos de extorsión, 12,415 de fraude electrónico, 8,489 de robo de contraseñas y 4,193 de suplantación de identidad.
Además, el Gobierno Federal reportó haber dado seguimiento a más de 30 incidentes relevantes de ciberseguridad en instituciones públicas durante el último año, junto con 345 alertas técnicas y cinco protocolos de mitigación anticipada.
El caso Puebla (si se confirma), se sumaría a una tendencia que ya no puede considerarse excepcional y debe analizarse dentro de un problema mucho más amplio.
En febrero de 2026 ya se investigaba en México un incidente que habría afectado a más de 20 instituciones públicas, actualmente son más de 35 casos reportados que deben analizarse como parte de un escenario creciente de ciberinseguridad en el sector público mexicano.
Esto es importante para las empresas porque muchas de ellas mantienen relaciones digitales y administrativas con gobiernos: participan en licitaciones, proporcionan documentación fiscal, entregan información de representantes legales, presentan contratos, utilizan plataformas institucionales y mantienen intercambio constante de información.
Cada nuevo incidente amplía la superficie de riesgo para las organizaciones que dependen de esas instituciones.
Por eso, el caso Puebla no debería analizarse únicamente preguntando si los 130 GB y los 82,621 PDF publicados son auténticos. La pregunta empresarial es mucho más sencilla:
¿Qué información de mi empresa se encuentra en poder de terceros y qué ocurriría si esa información confidencial fuera expuesta y comprometida?
Esperar la confirmación oficial puede parecer prudente, sin embargo, desde una perspectiva de gestión de riesgos puede ser precisamente el momento en que una empresa pierde su ventaja para prepararse.
¿Su empresa está en esa lista? No espere a comprobarlo para protegerse.
Riesgo político e institucional
La eventual exposición de información asociada al Sistema de Contratistas podría trascender el ámbito estrictamente tecnológico y convertirse en un asunto de impacto político, administrativo y reputacional.
Parte de la información relacionada con contratación pública puede encontrarse disponible a través de mecanismos de transparencia, plataformas de contratación y otros registros oficiales. Sin embargo, una eventual filtración podría incorporar información adicional que no se encuentre publicada de manera abierta.
La combinación de ambas fuentes podría permitir construir relaciones entre empresas, representantes legales, socios, domicilios, contratos, funcionarios, proveedores y otros actores.
En consecuencia, el riesgo no reside únicamente en la exposición individual de un dato, sino en la posibilidad de correlacionar múltiples fuentes de información para obtener conclusiones que anteriormente no eran evidentes.
¿Por qué una empresa debería preocuparse por una filtración gubernamental?
Porque las empresas entregan información a las instituciones públicas para poder operar, presentan documentación fiscal para poder participan en licitaciones, registrarse como proveedores y esperan que esa información sea protegida.
Por lo tanto, la superficie de ataque de una empresa ya no está limitada a sus propios sistemas, también incluye a las organizaciones que almacenan sus datos.
Esto convierte la seguridad de terceros en una parte fundamental de la estrategia de ciberseguridad empresarial.
El problema es particularmente relevante porque el 2025 Data Breach Investigations Report de Verizon encontró que la participación de terceros en las brechas analizadas se duplicó hasta alcanzar el 30%. Una empresa puede tener controles adecuados y aun así quedar expuesta por un tercero.
¿Y si mañana se confirma? Esta es la pregunta que deberían hacerse hoy los empresarios.
El costo de esperar
Una de las principales razones para actuar anticipadamente es que una filtración no necesariamente produce consecuencias inmediatamente visibles. Los atacantes pueden conservar información durante semanas o meses antes de utilizarla.
El Cost of a Data Breach Report 2025 de IBM estimó en US$4.44 millones el costo promedio global de una brecha de datos. La cifra no significa que una empresa mexicana vaya a enfrentar ese costo, pero demuestra la dimensión económica que puede alcanzar un incidente cuando se suman investigación, recuperación, interrupción, respuesta y consecuencias posteriores.
La prevención cuesta dinero. La improvisación cuesta mucho más.
¿Qué debería hacer una empresa?
Aquí debemos ser claros: No recomendamos que una empresa descargue la supuesta base de datos para buscarse. Tampoco recomendamos contactar al supuesto atacante, redistribuir los documentos o publicar información personal. La revisión debe hacerse de manera profesional y controlada.
El primer paso es determinar qué información entregó la empresa al Gobierno y qué nivel de exposición representaría si esa información estuviera incluida en una filtración.
Después debe evaluarse el posible impacto sobre la posible información en el expediente.
No se trata de entrar en pánico, se trata de saber dónde está el riesgo antes de que alguien lo utilice y generar un plan de respuesta a este tipo de incidentes.
No espere la confirmación para proteger su empresa.
Si su empresa tiene o ha tenido relación con el Sistema de Contratistas del Estado de Puebla, este es un buen momento para realizar una evaluación preventiva de exposición.
Finalmente.
Si su empresa ha participado en procesos de contratación pública en Puebla, ha estado registrada como contratista o ha entregado documentación al sistema, no recomendamos esperar a que aparezca públicamente un documento de su empresa para comenzar a actuar. Es importante considerar una Evaluación Preventiva de Exposición por Presunta Filtración diseñada precisamente para este escenario.
El objetivo es determinar qué información podría estar comprometida, qué riesgos representa, qué ataques podrían realizarse utilizando esa información y qué controles deberían reforzarse de inmediato. La evaluación permite a la dirección de la empresa tomar decisiones con información técnica y no a partir de rumores, capturas de pantalla o publicaciones de grupos de ciberdelincuentes.
Si finalmente se determina que la filtración era falsa, habrá ganado una evaluación de seguridad, pero si se confirma que los datos son auténticos, haber esperado puede significar enfrentar el incidente cuando los atacantes ya estén explotando su información.
En ciberseguridad, el peor momento para descubrir una vulnerabilidad es después de que alguien ya la explotó.
Si su empresa podría estar involucrada, podemos ayudarle a determinar su nivel de exposición antes de que el problema se convierta en un incidente.
Saludos cordiales.
Ing. Daniel Santin.