Cuatro años después del hackeo al Ministerio de Hacienda y a otras entidades públicas que paralizó servicios digitales estratégicos, como los de Tributación y Aduanas, Costa Rica podría estar enfrentando otro caso de robo de datos con fines extorsivos.
Un actor de amenazas publicó en la llamada dark web que obtuvo una base de datos con información de más de 400 millones de líneas con datos de diferente naturaleza sobre personas costarricenses, relacionados con beneficiarios finales, salarios, direcciones, teléfonos, correos electrónicos, fotografías, vehículos y registros judiciales y matrimoniales. Asimismo, afirmó poseer información de la presidenta Laura Fernández.
La Dirección Nacional de Ciberseguridad del Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) confirmó que una muestra de aproximadamente 10.000 líneas divulgadas por el supuesto responsable corresponde a datos reales. El Micitt indicó que no se puede confirmar que toda la base anunciada sea auténtica ni se puede establecer de cuáles instituciones, empresas o bases de datos provino la información.
“Actualmente analizamos una muestra aproximadamente de 10.000 líneas publicadas por este actor”, dijo Gezer Molina Colomer, director de ciberseguridad del Micitt, en un video divulgado por la entidad. “Hemos confirmado que parte de la información incluida en esta muestra sí es real. En estos momentos estamos validando el origen y el verdadero alcance de esta brecha”.
Molina agregó que las afirmaciones del supuesto ciberdelincuente “aún se encuentran bajo investigación” y que mantiene coordinación con el Ministerio Público, el Organismo de Investigación Judicial (OIJ), la Agencia de Protección de Datos de los Habitantes (Prodhab) y la Dirección de Inteligencia y Seguridad (DIS), así como contacto con autoridades de la República Dominicana, donde el mismo actor fue relacionado con otro incidente.
El funcionario dijo que debido a que el caso continúa bajo investigación, por el momento no es posible brindar mayores detalles. “Toda información debidamente confirmada será comunicada oportunamente mediante los canales oficiales”, señaló.
También advirtió que la información que resulte auténtica podría utilizarse para fraudes, suplantación de identidad, extorsiones o ataques de phishing, por lo que recomendó desconfiar de mensajes inesperados, no abrir enlaces o archivos sospechosos, evitar entregar información personal y activar la autenticación multifactor en las cuentas.
“Recomendamos a la población desconfiar de mensajes inesperados, evitar abrir enlaces o archivos sospechosos, no compartir información personal y activar la autenticación multifactor en sus cuentas”, subrayó Molina.
Por su parte, el Banco Central de Costa Rica (BCCR) emitió un comunicado en el que sostiene que no identificó ninguna vulneración del el Registro de Transparencia y Beneficiarios Finales (RTBF), a su cargo, ni de ningún otro sistema informático de la entidad.
El BCCR recalcó que su infraestructura tecnológica se mantiene segura, estable y en operación normal, por lo que rechaza las versiones que atribuyen a sus sistemas informáticos un supuesto incidente de seguridad cibernética. “A partir de la información disponible, no existe sustento técnico alguno para afirmar que los datos que supuestamente fueron extraídos pudieran provenir del RTBF”, indicó la entidad.
“El BCCR cuenta con una infraestructura tecnológica robusta para resguardar la información y asegurar la continuidad de sus servicios. Además, mantiene procesos permanentes de supervisión, control y seguimiento de sus sistemas para verificar su operación segura”, agregó en el comunicado publicado ante información divulgada durante el fin de semana sobre una supuesta filtración o sustracción de datos de ciudadanos que podrían provenir del RTBF.
Gravedad
De confirmarse el hackeo y la exposición de datos personales como fotografías de los costarricenses, el incidente revestería una alta gravedad. La exposición de la fotografía de todos los costarricenses podría provenir del padrón electoral, a cargo del Tribunal Supremo de Elecciones, que el buró de crédito utilizaba en sus servicios.
“La fotografía es un dato personal y, adicionalmente, no es un dato de acceso irrestricto”, recalcó Mauricio París, director de Ecija Legal y experto en Derecho Digital y Tecnología, quien agregó que el incidente plantearía varias preguntas a las partes involucradas en el país.
La situación expone a todos los ciudadanos a una filtración masiva de su imagen, lo que se puede prestar para todo tipo de situaciones derivadas de su aspecto personal previo (desde hace muchos años) que pueden eventualmente prestarse para alteraciones por medio de deepfakes o similar.
“En el dark web es probablemente la filtración de datos masiva, más grande que ha habido en Costa Rica y, cuidado, probablemente no a nivel internacional”, advirtió París. “No tengo conocimiento de que en ningún otro país todas las fotografías de los ciudadanos hayan sido filtradas”.
De ser confirmado por el Micitt, no es el único incidente que se registra durante este 2026.
En marzo pasado, el Instituto Costarricense de Electricidad (ICE) denunció que parte de sus sistemas fueron vulnerados y se sustrajeron 9 GB de correos electrónicos desde enero pasado por grupos de cibercriminales.
Tras los ataques del 2022, el país no dejó de ser un objetivo para los ciberdelincuentes, quienes evolucionaron durante estos años con más herramientas y métodos sofisticados, reconocimiento automatizado, explotación de vulnerabilidades, robo y comercialización de credenciales, botnets, servicios criminales y un uso creciente de inteligencia artificial para automatizar diferentes etapas de las operaciones, de acuerdo con el Global Threat Landscape Report de FortiGuard Labs.
Los botnets, por ejemplo, son redes de dispositivos conectados a la Internet que han sido infectados con software malicioso y son controlados de forma remota por un atacante.
Arturo Torres, Director de Inteligencia de Amenazas para América Latina y el Caribe, explicó que los ciberdelincuentes buscan infraestructura expuesta de manera constante. “Esto significa que ya no basta con preguntarnos si contamos con las tecnologías adecuadas; también debemos preguntarnos qué tan rápido podemos identificar, priorizar y responder ante una amenaza”, advirtió Torres.
Según las mediciones de telemetría realizadas por FortiGuard Labs tan solo durante la primera mitad de 2026, se detectaron en el país 313 millones de intentos de hackeo, incluyendo 75 millones de escaneos activos para encontrar redes y sistemas corporativos e institucionales expuestos y con vulnerabilidades.
A este tipo de métodos se agregan técnicas conocidas: ataques de fuerza bruta contra servicios expuestos, explotación de dispositivos de Internet de las cosas (IoT), intentos de explotación de vulnerabilidades conocidas y distribución de malware, incluyendo campañas que utilizan phishing y documentos maliciosos.
Los especialistas recuerdan mantener las medidas de ciberseguridad, actualizar los sistemas, recordar a los colaboradores las normas de acceso y advertirles para que no caigan en las trampas de los piratas informáticos, tanto para que no sean víctimas como para no exponer a las organizaciones.
En 2023 se caracterizó el panorama de la ciberseguridad en el Estado costarricense como de alta heterogeneidad entre sus más de 300 instituciones, con entidades mejor preparadas y otras que enfrentaban limitaciones presupuestarias y déficit de recursos humanos especializados.
Nota de redactor: información actualizada con pronunciamiento del BCCR y declaraciones de Mauricio París, de Ecija Legal a las 11:20 a.m.
