MICITT confirma datos reales en una muestra de la presunta filtración; el BCCR descarta una intrusión y niega evidencia contra el RTBF.
SAN JOSÉ, COSTA RICA — El MICITT comprobó que parte de una muestra de unas 10.000 líneas difundida por un actor de amenaza contiene datos reales de costarricenses, pero aún no ha determinado de dónde proceden ni ha validado la enorme cantidad de registros anunciada. El BCCR, entretanto, descartó una vulneración de sus sistemas.
La comprobación no demuestra que sea auténtica toda la información que el actor de amenaza dice poseer, ni establece todavía cuántas personas estarían afectadas. Tampoco identifica la organización de la cual habrían salido los datos.
Esa diferencia es central. Confirmar registros verdaderos dentro de una muestra prueba que el material examinado no es completamente ficticio, pero no permite extrapolar el resultado a cientos de millones de registros que no han sido verificados.
La Dirección Nacional de Ciberseguridad detectó la publicación el sábado 12 de septiembre. Su director, Gezer Molina Colomer, encabeza una dependencia del MICITT que tiene entre sus funciones coordinar la respuesta ante incidentes, realizar acciones interinstitucionales e internacionales e identificar y documentar hallazgos relacionados con incidentes informáticos.
Las 10.000 líneas verificadas no validan los más de 400 millones de registros anunciados
El actor detrás de la publicación afirma disponer de más de 400 millones de registros o líneas relacionados con personas en Costa Rica. Entre las cantidades atribuidas al responsable aparecen 374,6 millones de registros salariales, 21,8 millones de direcciones, 13,45 millones de registros telefónicos, 9,95 millones asociados con ciudadanos, 3,95 millones de correos electrónicos y 3,31 millones de fotografías.
También asegura tener 3,52 millones de registros de vehículos, 3,39 millones relacionados con beneficiarios finales, 18,74 millones de registros judiciales o legales detallados, otros 8,1 millones de registros judiciales y dos millones sobre matrimonios.
Ninguna de esas cantidades ha sido confirmada oficialmente.
Además, hablar de “registros” no equivale a hablar de personas distintas. Una misma persona podría aparecer numerosas veces en una base salarial histórica, tener varios números telefónicos, direcciones o vehículos, o estar representada simultáneamente en distintos conjuntos. Por ello, sumar las categorías tampoco permitiría calcular el número de ciudadanos potencialmente afectados.
Ese matiz impide sostener, con la información disponible, que exista una filtración de “más de 400 millones de datos de costarricenses” como hecho probado. Lo confirmado hasta ahora es considerablemente más acotado: una fracción de la muestra analizada contiene información auténtica y las autoridades intentan establecer su procedencia.
El Banco Central niega una vulneración del RTBF o de cualquier otro sistema
Una de las líneas que requería comprobación surgió porque el listado atribuido al actor menciona millones de registros de beneficiarios finales. Esa referencia puso atención sobre el Registro de Transparencia y Beneficiarios Finales (RTBF).
El Banco Central afirmó el lunes que no ha identificado ninguna vulneración del RTBF ni de ningún otro sistema informático de la entidad. También sostuvo que la información conocida hasta ahora no ofrece sustento técnico para concluir que los datos difundidos procedan de ese registro.
Esto no contradice la confirmación del MICITT. Las dos conclusiones responden a preguntas distintas: el Ministerio determinó que parte de los datos de la muestra es real; el Banco Central sostiene que no encontró evidencia de que esos datos hayan sido extraídos mediante una intrusión en sus sistemas.
Por tanto, la autenticidad de determinados registros no demuestra por sí misma el origen de la información.
El RTBF tiene una función especialmente sensible: permite a las autoridades disponer de información destinada a identificar a las personas que controlan o se benefician de personas y estructuras jurídicas. Su fundamento está vinculado con la Ley 9416 para mejorar la lucha contra el fraude fiscal y con mecanismos de prevención de legitimación de capitales y financiamiento al terrorismo.
Documentación institucional y judicial también permite precisar el papel del Banco Central: el BCCR brinda soporte tecnológico al sistema, mientras las reglas de negocio corresponden a otras autoridades. Una sentencia de la Sala Constitucional de 2025 recoge incluso que la Ley 9416 no otorgó al Banco Central derechos de lectura o escritura sobre la información contenida en las declaraciones del RTBF.
Ese elemento añade contexto a la investigación y refuerza la necesidad de no atribuir automáticamente la eventual exposición al Banco Central solo porque entre los datos anunciados aparezca información descrita como de beneficiarios finales.
MICITT busca ahora establecer de qué bases salieron los datos auténticos
El punto crítico de la investigación pasa de comprobar si existe información verdadera a reconstruir cómo llegó esa información a manos del actor de amenaza.
Por ahora no se ha establecido públicamente si el material procede de una sola organización, de varias fuentes, de bases antiguas combinadas o de una intrusión reciente. Tampoco existe confirmación oficial de que una institución pública específica haya sido comprometida.
El MICITT mantiene coordinaciones con el Ministerio Público, el Organismo de Investigación Judicial (OIJ), la Agencia de Protección de Datos de los Habitantes (Prodhab) y la Dirección de Inteligencia y Seguridad (DIS). También existe comunicación con autoridades de República Dominicana debido a otro incidente con el cual habría sido relacionado el mismo actor.
La participación de Prodhab es relevante porque la legislación costarricense impone obligaciones a quienes administran información personal. La agencia señala que los responsables de bases deben mantener medidas administrativas, físicas y lógicas para proteger los datos. Su normativa también contempla obligaciones específicas cuando se produce una vulneración de las medidas de seguridad.
Determinar la fuente resulta, por ello, indispensable no solo para reconstruir técnicamente lo ocurrido, sino también para establecer qué responsable tenía bajo su custodia los datos y qué obligaciones legales podrían resultar aplicables.
La combinación de datos reales puede elevar el riesgo de phishing y suplantación
El MICITT advirtió que información auténtica expuesta puede aprovecharse para fraude, suplantación de identidad, extorsión y ataques de phishing.
El riesgo no depende únicamente de que un atacante conozca un nombre o un correo electrónico. Una combinación de datos correctos —por ejemplo, identificación, teléfono, dirección o información laboral— puede hacer mucho más convincente un mensaje fraudulento porque permite personalizarlo.
Mientras se determina el alcance del caso, la recomendación oficial es desconfiar de comunicaciones inesperadas, no abrir enlaces o archivos sospechosos, evitar entregar información personal ante solicitudes cuya procedencia no pueda comprobarse y activar autenticación multifactor en los servicios que la permitan.
Para los ciudadanos, la existencia de información correcta en la muestra no significa automáticamente que sus propios datos estén incluidos. A la fecha tampoco existe una cifra oficial de personas afectadas que permita hacer esa afirmación.
Tres preguntas definirán la verdadera dimensión de la presunta filtración
La primera es el origen: ninguna autoridad ha identificado públicamente todavía la base, empresa o institución de la cual salió la información auténtica.
La segunda es la magnitud. Las autoridades verificaron parte de una muestra cercana a 10.000 líneas, mientras que las cifras de cientos de millones proceden del propio actor de amenaza. No existe base técnica pública para equiparar ambas escalas.
La tercera es el mecanismo de obtención. Encontrar datos reales publicados por un tercero no demuestra necesariamente que haya ocurrido una intrusión reciente contra el sistema al que esos datos parecen estar relacionados. La investigación deberá establecer si existió un compromiso informático, una combinación de fuentes, información obtenida previamente o algún otro mecanismo.
Hasta que esas tres preguntas tengan respuesta, la descripción técnicamente más precisa es la de una presunta exposición masiva bajo investigación, con datos auténticos comprobados dentro de una muestra, pero sin origen ni dimensión total confirmados.
COMMENTS