Vulneran SIDAC y exponen 400 mil peticiones dirigidas a Presidencia

CIUDAD DE MÉXICO, 29 de julio de 2026.— El Sistema Integral de Atención Ciudadana (SIDAC) de la Presidencia de la República fue vulnerado mediante una falla de seguridad que habría permitido consultar y descargar más de 400 mil expedientes de personas que presentaron peticiones, quejas, denuncias o solicitudes de apoyo ante el Ejecutivo federal.

La intrusión fue reportada este martes por el periodista especializado en ciberseguridad Ignacio Gómez Villaseñor, quien señaló que los registros correspondían a trámites acumulados hasta febrero de 2026. Al cierre de esta edición, la Presidencia de la República y la Agencia de Transformación Digital y Telecomunicaciones (ATDT) no habían informado públicamente el alcance del incidente.

El SIDAC funciona como la ventanilla digital que conecta a la ciudadanía con Palacio Nacional. En esta plataforma, las personas pueden registrar una petición, proporcionar datos de contacto, explicar su problema y consultar posteriormente el avance de su trámite mediante un número de identificación.

De acuerdo con la información difundida, la exposición se habría originado por una vulnerabilidad conocida como IDOR, siglas en inglés de Referencia Directa Insegura a Objetos. Este tipo de falla ocurre cuando un sistema permite acceder a registros ajenos con sólo modificar números o identificadores dentro de una dirección electrónica, sin verificar correctamente la autorización del usuario.

El incidente habría permitido descargar 59 archivos correspondientes a diferentes dependencias federales, entre ellas las secretarías de Seguridad y Protección Ciudadana, Defensa Nacional y Marina, así como la Guardia Nacional. El enlace con la información permaneció disponible durante aproximadamente 24 horas y habría registrado al menos 20 descargas antes de ser desactivado.

Los expedientes expuestos incluirían nombres completos, domicilios, códigos postales, números telefónicos, correos electrónicos y el historial de seguimiento de cada petición. También se habría revelado el contenido íntegro de solicitudes relacionadas con problemas médicos, apoyos económicos, conflictos familiares, abusos en escuelas, presencia de grupos delictivos y denuncias dirigidas a autoridades de seguridad.

No se trata de una base administrativa cualquiera. El SIDAC reúne el expediente de personas que, desde una colonia de la Ciudad de México o desde cualquier comunidad del país, decidieron tocar la puerta digital de Palacio Nacional para pedir ayuda. La combinación entre domicilio, teléfono y motivo de la solicitud permite identificar no sólo a una persona, sino también su situación económica, familiar o de seguridad.

Esta información puede ser utilizada para elaborar fraudes o extorsiones con datos reales. Una llamada en la que el delincuente conoce el nombre de una dependencia, el número de un trámite o el problema que enfrenta la víctima puede resultar más creíble que los mensajes enviados al azar que circulan diariamente por teléfonos y aplicaciones.

El caso representa el tercer incidente informático de alto impacto relacionado con la Presidencia de la República desde enero de 2024. En aquella ocasión, un acceso no autorizado al Sistema de Acreditaciones expuso información de 263 periodistas que cubrían las conferencias matutinas del entonces presidente Andrés Manuel López Obrador.

Entre los documentos sustraídos se encontraban 186 credenciales para votar con domicilio completo, 63 pasaportes, identificaciones migratorias, fotografías, currículums y una licencia de conducir. El gobierno informó que el acceso se realizó desde direcciones de internet ubicadas en España mediante las credenciales de un exempleado.

Artículo 19 advirtió entonces que la exposición de domicilios y documentos de periodistas no debía analizarse únicamente como una afectación a la privacidad. En un país donde comunicadores han sido asesinados o desaparecidos, explicó la organización, una filtración puede convertirse en un riesgo para la integridad física de las personas afectadas.

El segundo antecedente ocurrió en noviembre de 2024, cuando el grupo de ransomware RansomHub afirmó haber sustraído 313 gigabytes de la Consejería Jurídica del Ejecutivo Federal. Posteriormente fueron difundidos más de 210 gigabytes con contratos, pólizas, información financiera y datos personales de trabajadores gubernamentales.

La vulneración del SIDAC también se suma a una cadena de ataques registrada durante julio de 2026 contra plataformas de atención ciudadana y bases gubernamentales estatales y municipales. El primero de julio, el Ayuntamiento de León confirmó un acceso indebido a su Sistema de Atención Ciudadana, del que habrían sido extraídos datos de aproximadamente 250 mil personas.

En esa filtración aparecieron nombres, teléfonos, domicilios y coordenadas geográficas utilizadas para localizar los lugares donde se solicitaron servicios municipales. El atacante también habría modificado registros dentro de la plataforma, lo que afectó no sólo la confidencialidad de los datos, sino la integridad del sistema oficial.

Días después se reportó la exposición de cerca de un millón de registros pertenecientes al Gobierno de Sinaloa y al Ayuntamiento de Culiacán. La base más extensa correspondía al padrón municipal de contribuyentes, con aproximadamente 817 mil registros que incluían nombres, RFC, CURP, domicilios, teléfonos y referencias relacionadas con cuentas o convenios fiscales.

En Michoacán, reportes periodísticos documentaron la extracción de expedientes de 4 mil 991 policías estatales, con domicilios, fotografías, firmas y datos de identificación. También se informó sobre la sustracción de 135 gigabytes del Poder Judicial estatal, además de documentos de proveedores y registros del Sistema de Atención Ciudadana.

La acumulación de incidentes muestra que las bases públicas pueden convertirse en fuentes de inteligencia para grupos dedicados a la extorsión, el fraude, la suplantación de identidad o la vigilancia de servidores públicos. La información que comienza como un trámite de bacheo, una solicitud médica o una denuncia vecinal puede terminar convertida en mercancía dentro de foros criminales.

Las personas que hayan utilizado el SIDAC deben conservar sus folios y revisar movimientos inusuales en cuentas bancarias, servicios fiscales y reportes crediticios. También se recomienda desconfiar de llamadas que mencionen trámites reales, no compartir códigos enviados por mensaje de texto y cambiar contraseñas cuando hayan sido reutilizadas en distintas plataformas.

Los posibles afectados pueden solicitar por escrito a la Presidencia información sobre los datos que conserva el sistema, las medidas adoptadas después del incidente y la existencia de alguna transferencia o acceso no autorizado. En caso de recibir intentos de extorsión o fraude, es importante guardar números telefónicos, mensajes, capturas de pantalla y comprobantes para presentar una denuncia.

El incidente ocurre mientras México todavía no cuenta con una ley general de ciberseguridad plenamente vigente. A ello se suma la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, cuyas funciones fueron transferidas a nuevas autoridades administrativas.

La ATDT presentó un Plan Nacional de Ciberseguridad que contempla monitoreo permanente, centros de respuesta a incidentes, evaluaciones técnicas y capacitación para dependencias federales. El caso SIDAC pondrá a prueba la aplicación de esos mecanismos y la capacidad institucional para informar oportunamente a las personas afectadas.

La respuesta oficial deberá precisar cuántos registros fueron consultados o descargados, qué periodo comprenden, qué dependencias resultaron afectadas y si la información fue retirada por completo. También deberá explicar por qué una plataforma que guarda la historia personal de miles de ciudadanos podía ser recorrida mediante identificadores consecutivos sin controles suficientes.

Hasta que exista una investigación técnica y una notificación formal, el número exacto de personas afectadas y el uso posterior de los archivos permanecerán sin confirmación gubernamental. Para quienes pidieron ayuda mediante el SIDAC, la principal preocupación ya no es sólo conocer el estado de su trámite, sino saber quién más pudo leerlo.