Exposición de datos en Telegram: la AIMX pide colaborar con el gobierno federal

La Asociación Mexicana de Internet A.C. (AIMX) expresó su inquietud ante los recientes comunicados de la Secretaría Anticorrupción y Buen Gobierno. La autoridad federal detectó en Telegram la comercialización de bases de datos presuntamente pertenecientes a empresas privadas y anunció investigaciones de oficio. Ante este panorama, el organismo empresarial solicitó al gobierno federal un modelo de trabajo conjunto que proteja la privacidad de los usuarios sin vulnerar el debido proceso ni arriesgar la confianza en la economía digital.

La importancia de la detección temprana de incidentes

La AIMX reconoce el monitoreo preventivo realizado por la Secretaría Anticorrupción y Buen Gobierno. Detectar a tiempo la exposición de información permite activar de inmediato los protocolos de respuesta exigidos por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). La pronta identificación de amenazas reduce el tiempo de reacción de semanas a pocas horas, reduciendo el impacto negativo sobre los ciudadanos titulares de los datos.

Sin embargo, la industria tecnológica enfatiza que el máximo valor de un hallazgo reside en notificarlo de manera rápida y directa a las organizaciones afectadas para contener el daño antes de emitir posicionamientos públicos.

El monitoreo preventivo y el debido proceso sancionador

La asociación considera preocupante que la detección de un incidente derive de forma automática en el anuncio público de una investigación de oficio contra corporativos específicos. La LFPDPPP autoriza procedimientos de verificación únicamente cuando existen indicios fundados y motivados de una infracción legal. La oferta de información realizada por un ciberdelincuente en Telegram evidencia un delito cometido contra la empresa, pero no demuestra por sí misma un incumplimiento normativo de la organización victimizada.

Lina Rodríguez, presidenta de la AIMX, advierte sobre los peligros de este enfoque:

«Un esquema en el que cada publicación criminal detona una verificación y una eventual multa crea un incentivo perverso. Entrega a los grupos delincuenciales una nueva palanca de extorsión: les basta difundir una muestra para activar a la autoridad contra su víctima. También desalienta que las empresas compartan información sobre incidentes, que es justo lo que el ecosistema necesitaría para atenderlos oportunamente».

La difusión pública prematura de estos eventos genera además consecuencias graves para las investigaciones criminales:

• Alerta al infractor: La difusión oficial permite al cibercriminal eliminar la publicación, migrar de canal y destruir evidencias digitales antes de la intervención de la policía cibernética.
• Debilita la prueba: El levantamiento de indicios digitales fuera de la cadena de custodia legal compromete su validez jurídica en un proceso penal.
• Amplifica la oferta criminal: La confirmación gubernamental valida la autenticidad de la base de datos, incrementando su valor monetario en el mercado negro.
• Genera riesgos de seguridad: El manejo de muestras gubernamentales con información de miles de ciudadanos requiere salvaguardas extremas para evitar nuevas filtraciones.

Por su parte, Juan Antonio Ramírez Márquez, vicepresidente de Relaciones con Gobierno de la AIMX, destaca la necesidad de actuar con prudencia institucional:

«Señalar públicamente a una empresa por su nombre, cuando todavía se está frente a indicios que requieren verificación, puede generar un efecto de revictimización y producir un daño reputacional y comercial anticipado. Antes de atribuir el origen, autenticidad o responsabilidad respecto de una base de datos, resulta indispensable determinar si la información es auténtica, cuál es su antigüedad, de dónde provino, cómo fue obtenida y si existió algún incumplimiento atribuible al responsable o a un tercero».

Seis propuestas de la industria para la ciberseguridad

Para construir un frente común contra la delincuencia informática, la AIMX plantea seis acciones concretas a la autoridad federal:

1. Aviso temprano y confidencial: Notificar de inmediato los indicios detectados a la empresa involucrada mediante un enlace designado, otorgando un plazo razonable para la verificación y contención.
2. Coordinación judicial inmediata: Denunciar el hallazgo ante el Ministerio Público y compartir los datos con las policías cibernéticas preservando la cadena de custodia antes de realizar cualquier difusión pública.
3. Criterios claros de comunicación: Reservar el nombre de la empresa afectada hasta contar con hechos verificados, enfocando los boletines públicos en recomendaciones de protección para la ciudadanía.
4. Mesa permanente autoridad e industria: Crear un espacio continuo entre la Secretaría, las fuerzas de seguridad, la fiscalía, la academia y la industria para intercambiar inteligencia de amenazas.
5. Incentivos a la transparencia: Establecer atenuantes en los procedimientos sancionadores para las empresas que notifiquen voluntariamente los incidentes y adopten medidas correctivas de forma diligente.
6. Protocolo de preservación digital: Implementar lineamientos técnicos junto con la Fiscalía General de la República (FGR) para el manejo seguro de evidencias y muestras de datos personales.

Iván Díaz González, vicepresidente de Innovación y Tecnologías Emergentes de la AIMX, reitera que la ciberseguridad exige corresponsabilidad. Las empresas que actúan con transparencia y notifican los incidentes deben encontrar en las autoridades a un aliado estratégico. Sancionar la transparencia genera silencio, y la falta de información deja en indefensión a los usuarios.