El Estado mexicano ha sido penetrado
En los primeros diez meses de 2026, el gobierno de Mexico ha sufrido la peor crisis de ciberseguridad de su historia. Al menos 50 entidades gubernamentales en 20 de los 32 estados han sido comprometidas por grupos de ransomware, hacktivistas, actores estado-nacion y cibercriminales independientes. Los datos personales de al menos 40 millones de ciudadanos circulan activamente en mercados de la dark web.
No se trata de incidentes aislados. Se trata de un patron sistemico de vulnerabilidad que atraviesa los tres niveles de gobierno —federal, estatal y municipal— y que ha sido respondido con un patron igualmente sistemico de negacion institucional.
Dato clave: En enero de 2026, el grupo Chronus filtro 2.3 terabytes de informacion de 25 dependencias publicas en un solo ataque, exponiendo datos de 36.5 millones de mexicanos. La respuesta oficial del gobierno fue: “no se identifico filtracion de datos sensibles.”
Esta investigacion documenta, con fuentes verificables, cada estado comprometido, cada grupo responsable y cada falla institucional que hizo posible lo que ya es, sin hiperbole, un colapso de la ciberseguridad del Estado mexicano.
h4ckzu5 • Policia Cibernetica Tijuana
3 incidentes confirmados
Chronus • Poder Judicial
Cuentas bancarias, facturas, codigo fuente
Chronus • Sec. Salud
263 usuarios, catastro, predial
Mensaje burlesco al gobierno
3.9M registros: licencias, placas, CURP, fotos, domicilios 2009-2024
Infra critica: agua potable 90K tomas
Chronus • FGE Tamaulipas
921,000 personas en un fin de semana
Hacienda + Nomina + Avaluos + SEPyC
Chronus • Inst. Juventud + DIF BANAVIM
Datos de mujeres victimas de violencia
86,237 servidores publicos: CURP, RFC, email
Rescate: 12 BTC (~$450K USD)
Datos empleo, CURP, cuentas bancarias
Datos municipales
Datos funcionarios y estudiantes
5 grupos • 7 ataques
FGE 336K archivos • Policia 6K perfiles
Leon 250K ciudadanos • SATEG 147 kioscos
Datos de investigadores y becarios
Chronus • 25 dependencias, 36.5M
GhostSec • Tribunal CDMX
KryBit • tender.mx
+ defacements, ataque IA 150GB
COMUDE Guadalajara + gobierno estatal
IA-asistido • Exfiltracion
Comprometido 2025, impacto en 2026
3,652 audios emergencia a la venta $1,200 USD
Datos ciudadanos, registros medicos
Sec. Educacion 33.8 GB: fotos ID, actas
DeclaraTabasco anticorrupcion
Datos ciudadanos y funcionarios
Datos de procedimientos judiciales
Parte de ola de 6 fiscalias
Declaraciones patrimoniales funcionarios
Defacement Zone-H
h4ckzu5 • SSPC Policia
2.9M registros denuncias 2007-2024
El Mega-Hackeo Chronus: 25 instituciones en un golpe
El 30 de enero de 2026, el grupo autodenominado Chronus publico lo que se convertiria en la mayor filtracion de datos gubernamentales en la historia de Mexico: 2.3 terabytes extraidos de al menos 25 instituciones publicas.
Instituciones federales comprometidas por Chronus
- SAT (Servicio de Administracion Tributaria) — datos fiscales, RFC
- IMSS e IMSS-Bienestar — expedientes clinicos, numeros de seguridad social
- SEP (Secretaria de Educacion Publica) — registros educativos
- Secretaria de Salud — datos de pacientes
- Gobierno federal (gob.mx) — portal unificado de tramites
- Partido Morena — datos de militantes y estructura interna
Instituciones estatales comprometidas por Chronus
| Estado | Entidad | Datos expuestos |
|---|---|---|
| Sonora | Secretaria de Hacienda | 40 GB: cuentas bancarias, facturas, codigo fuente del portal |
| Sonora | Poder Judicial | Registros judiciales, datos personales |
| Querétaro | Poder Judicial | Datos de procedimientos judiciales |
| San Luis Potosi | DeclaraNet SLP | 86,237 servidores publicos: nombre, CURP, RFC, email |
| Tabasco | Secretaria de Educacion | 33.8 GB: fotos ID, actas nacimiento, comprobantes de 25,000+ personas |
| Chihuahua | Secretaria de Salud | Expedientes de pacientes |
| Chiapas | Secretaria Funcion Publica — DeclaraChiapas | Declaraciones patrimoniales de funcionarios |
| Nayarit | Secretaria Admin. y Finanzas + Educ. Media Superior | Datos de funcionarios y estudiantes |
| Hidalgo | CITNOVA | Datos de investigadores y becarios |
| Zacatecas | Instituto Juventud + DIF (BANAVIM) | Datos de jovenes beneficiarios + registros de mujeres victimas de violencia |
| Tamaulipas | FGE Tamaulipas | Expedientes judiciales |
| Tlaxcala | Gobierno estatal + Secretaria de Salud | Datos ciudadanos, registros medicos |
| Morelos | Gobierno estatal | Datos de ciudadanos y funcionarios |
| Quintana Roo | Municipio de Benito Juarez (Cancun) | Datos municipales |
| Coahuila | Portal estatal coahuila.gob.mx | Defacement + mensaje dirigido al Estado |
| Jalisco | COMUDE Guadalajara + gobierno estatal | Datos de ciudadanos |
La Agencia de Transformacion Digital y Telecomunicaciones (ATDT) respondio que no se identifico “filtracion de datos sensibles.” El grupo Chronus respondio publicando los archivos completos y declarando que los protocolos de seguridad del gobierno son “totalmente ineficientes.”
Febrero 2026: Se confirmo que hackers usaron inteligencia artificial (Claude/GPT) para automatizar la extraccion de 150 GB adicionales de datos fiscales y electorales de portales gubernamentales de Jalisco, Michoacan, CDMX y Tamaulipas.
Estado por estado: el mapa del desastre
A continuacion, el desglose completo de cada estado con incidentes confirmados en 2026, organizados por nivel de impacto.
Nivel critico — multiples ataques, datos masivos
Guanajuato
- Feb: FGE — BD Violencia contra Mujeres: 336,000 archivos con nombres de victimas y agresores
- Abr 23: Secretaria de Seguridad y Paz — 6,000 perfiles de elementos policiacos con fotos y domicilios (Sociedad Privada 157)
- Jul 1-2: Municipio de Leon, SAC — 250,000 ciudadanos: CURP, domicilio, coordenadas GPS (cenfecracked). Dos filtraciones en dos dias.
- Oct 2-6: SATEG Kioscos Digitales — 147 kioscos fuera de servicio 10+ dias, contratos por 370 MDP comprometidos
Sinaloa
- Jul 19-22: Hacienda Municipal Culiacan — 817,000 contribuyentes: datos bancarios, domicilios (Hackers$ Crew)
- Jul 22: Nomina Ayuntamiento Culiacan — 20,000 empleados municipales
- Jul 22: Sinaloa Avaluos — 84,200 propietarios catastrales
- Jul 22: SEPyC Educacion — 45,000 perfiles docentes
Nuevo Leon
- Ago 12: ICVNL (Control Vehicular) — 2.4M licencias + 1.5M registros vehiculares 2009-2024: CURP, RFC, fotos, domicilios, placas (actor Eternal)
Oaxaca
- Feb-Mar: Secretaria de Salud — datos clinicos de pacientes (LockBit 5.0)
- May-Jun: SSPC Policia Estatal — 2.9M registros del sistema de denuncias anonimas 2007-2024 (h4ckzu5)
Baja California
- Ene 6: baja.gob.mx — 50 GB exfiltrados, 77 credenciales comprometidas, deadline ransom 13 ene (Tengu)
- Ene 15: Instituciones estatales — investigacion de fuga en curso
- May-Jun: Policia Cibernetica Tijuana — sistema de reportes comprometido (h4ckzu5)
CDMX / Federal
- Ene 21: gob.mx portal federal (LockBit 5.0)
- Ene 21: Sociedad Hipotecaria Federal — 277 GB (LockBit 5.0)
- Ene 30: 25 dependencias federales (Chronus)
- Feb: Registro Civil + dependencias — 150 GB via ataque IA-asistido
- Abr: Tribunal Justicia Administrativa — expedientes crimen organizado (GhostSec)
- May-Jun: Multiples portales cdmx.gob.mx — defacements (h4ckzu5)
- Sep 12: tender.mx licitaciones gubernamentales (KryBit)
Nivel alto — ataques individuales de alto impacto
Tamaulipas
- Oct 13: COMAPA Victoria — sistema de agua potable de capital estatal, 90,000 tomas domiciliarias, posible acceso SCADA (Qilin). Cero cobertura mediatica mexicana.
Chihuahua
- Feb 7: Municipio de Chihuahua — 263 usuarios, catastro, predial, nomina (Qilin)
Yucatan
- Jun 20: IDEFEEY empleo estatal — datos de beneficiarios, CURP, cuentas bancarias. Demanda: 12 BTC (LockBit 5.0)
Zacatecas
- Oct 10: Secretaria de Modernizacion, Municipio de Rio Grande — 379 usuarios comprometidos (Qilin)
Tabasco
- Feb: FGE + Poder Judicial de Tabasco — DeclaraTabasco anticorrupcion, datos de funcionarios (Chronus, segunda oleada)
Estado de Mexico
- Sep: Secretaria de Seguridad Edomex — 3,652 archivos de audio de llamadas de emergencia 2016-2026 a la venta por $1,200 USD en foro cibercriminal
Los 13 grupos que atacan al gobierno mexicano
El ecosistema de amenazas que opera contra Mexico en 2026 no es un grupo aislado: son al menos 13 actores distintos con motivaciones que van desde el lucro financiero hasta el hacktivismo politico.
| Grupo | Tipo | Estados afectados | Impacto |
|---|---|---|---|
| Chronus | Hacktivista/criminal | 18+ estados + federal | 2.3 TB, 36.5M personas, 25 dependencias |
| LockBit 5.0 | RaaS | CDMX/Federal, Oaxaca, Yucatan | gob.mx, SHF 277GB, IDEFEEY 12 BTC |
| Qilin | RaaS | Chihuahua, Tamaulipas, Zacatecas | 2,382 victimas globales, infra critica MX |
| Hackers$ Crew | Cibercriminal | Sinaloa | 921,000 personas en un fin de semana |
| cenfecracked | Cibercriminal | Guanajuato (Leon) | 250,000 ciudadanos, doble filtracion |
| Sociedad Privada 157 | Cibercriminal | Guanajuato | 6,000 elementos policiacos con fotos |
| Eternal / Hol1stic-Killer | Actor individual | Nuevo Leon, Yucatan | 3.9M registros vehiculares + licencias |
| h4ckzu5 / c4t | Hacktivista | CDMX, Oaxaca, Baja California | Defacements + sistemas de denuncia |
| Tengu | Ransomware | Baja California | 50 GB exfiltrados, ransomware |
| GhostSec | Hacktivista internacional | CDMX | Expedientes judiciales crimen organizado |
| KryBit | Ransomware | CDMX | Portal licitaciones tender.mx |
| Tekir APT | APT internacional | Guanajuato | Fiscalia: 250 GB, 60 equipos cifrados |
| Drakonov | Defacer | Michoacan, Veracruz, Guerrero | Fiscalias comprometidas (Zone-H) |
El mercado negro de datos gubernamentales mexicanos
Los datos robados no desaparecen. Se venden, se revenden, se consolidan y se explotan durante anos. En 2026, el mercado negro de informacion gubernamental mexicana opera en tres capas:
Capa 1: Los que irrumpen
Chronus, LockBit, Qilin — los grupos que comprometen los sistemas y extraen la informacion. Su modelo: exigir rescate, y si no pagan, publicar los datos en sitios de filtracion.
Capa 2: Los brokers
InjectionInferno es el perfil mas prolifico. En 2025 puso a la venta la “base de datos mas grande de Mexico”: 701 GB en 25 carpetas tematicas — padron electoral con foto, registros bancarios, datos medicos, informacion educativa. Opera en dark web y Telegram.
Frouzenx publico en DarkForums el 4 de octubre de 2026 una base completa del portal gob.mx.
Capa 3: Los distribuidores
Un bot de Telegram con mas de 14,000 compradores mensuales ofrece acceso a 18 millones de contrasenas de mexicanos. De estas, 245,490 son credenciales de dominio .gob.mx — accesos al SAT, ISSSTE, CFE, becas Benito Juarez y portales de dependencias federales.
El padron electoral del INE — con fotografia, domicilio, CURP y clave de elector de ~90 millones de mexicanos — se vende por $30,000 MXN (~$1,500 USD) en Facebook y Telegram.
Datasets en venta activa (octubre 2026)
| Dataset | Volumen | Precio | Plataforma |
|---|---|---|---|
| Megabase Chronus (SAT, IMSS, SEP) | 2.3 TB / 36.5M registros | Publicacion libre | Foros TOR, Telegram |
| Inferno Leaks (electoral, fiscal, bancario) | 701 GB / 100M+ registros | No publicado | Dark web + Telegram |
| Padron INE con biometricos | ~90M registros | $30,000 MXN | Facebook, Telegram |
| SHF datos hipotecarios | 277 GB | Extorsion | Sitio LockBit |
| ICVNL Nuevo Leon | 3.9M registros | No confirmado | Foros dark web |
| Credenciales .gob.mx | 245,490 passwords | Variable por unidad | Bot Telegram |
| Sinaloa fiscal + bancario | 921,000 registros | No publicado | Telegram |
| Sec. Seguridad Edomex (audios emergencia) | 3,652 archivos | $1,200 USD | Foro cibercriminal |
Los numeros del desastre
Top 3 grupos contra Mexico (H1 2026, datos SCILabs)
| Grupo | Ataques confirmados MX | Modelo |
|---|---|---|
| The Gentlemen | 49 | RaaS + doble extorsion |
| Qilin | 46 | RaaS, asesoria legal incluida |
| LockBit 5.0 | 43 | RaaS clasico, resurgente |
Sectores mas afectados
| Sector | % del total | Tendencia |
|---|---|---|
| Servicios | 19.66% | Subiendo |
| Gobierno | 11.72% | Alto riesgo estructural |
| Manufactura | 8.28% | Consistente |
| Financiero | ~8% | Subiendo post-regulacion |
| Salud | ~7% | Subiendo |
| Retail | ~6% | Nuevo vector 2026 |
Mexico vs LATAM
| Pais | Ataques/semana/org | Posicion ransomware |
|---|---|---|
| Brasil | 4,118 | 1ro (44% LATAM) |
| Colombia | 4,090 | Crecimiento mas rapido |
| Mexico | 3,548 | 2do (18% LATAM) |
| Argentina | 2,800 | 4to |
El vacio institucional: sin ley, sin presupuesto, sin respuesta
Mexico enfrenta esta crisis sin las herramientas legales basicas para responder:
- Ley Federal de Ciberseguridad: La iniciativa Colosio-Trasvina lleva 18 meses varada en comisiones del Senado. No existe marco legal ejecutable.
- Presupuesto TIC 2026: 33,395 millones de pesos — una reduccion del 1.9% respecto a 2025. No hay partida especifica para ciberseguridad.
- CERT-MX: Certificado SIM3, pero con solo 613 servidores publicos capacitados para un aparato de cientos de miles de empleados.
- Credenciales comprometidas: 1,012 credenciales de dominio gob.mx expuestas por infostealers.
- Madurez: Solo el 2% de organizaciones en Mexico alcanzan madurez en ciberseguridad (Cisco 2025).
Mexico vs la region: una comparacion que duele
| Pais | Ley de ciberseguridad | Agencia autonoma | Sanciones |
|---|---|---|---|
| Chile | Ley 21.663 vigente (2025) | ANCI operativa | Hasta 40,000 UTM |
| Brasil | LGPD + ANPD autonoma (2026) | ANPD | Multas % revenue |
| Colombia | Politica CONPES, parcial | SIC (parcial) | Multas SIC |
| Mexico | Sin ley (iniciativa en comisiones) | ATDT (sin autonomia) | Sin mecanismo |
Timeline completo: enero a octubre 2026
Lo que viene: proyeccion Q4 2026
Las tendencias son claras y no apuntan a mejoria:
- Ransomware en escalada: H1 2026 cerro con +25.54% vs H2 2025 en LATAM. La proyeccion para H2 2026 es de 340-380 ataques regionales.
- IA como multiplicador: Ya se confirmo el uso de Claude/GPT para automatizar exfiltracion de datos gubernamentales. Esto reduce la barrera tecnica para atacantes.
- Sin ley: La iniciativa de ciberseguridad no se aprobara en 2026. El gobierno opera sin marco sancionatorio.
- 12 estados sin monitoreo: La ausencia de evidencia en Aguascalientes, Campeche, Colima, Durango, Puebla, BCS y otros no significa seguridad — significa invisibilidad.
Nota editorial: Este reportaje se actualiza conforme se confirman nuevos incidentes. Si tienes informacion sobre ciberataques a gobierno en Mexico, contacta a La Brecha de forma anonima.
Metodologia y fuentes
Esta investigacion fue elaborada cruzando las siguientes fuentes:
- ransomware.live — Feed CTI publico de victimas de ransomware en tiempo real
- Pipeline CTI La Brecha — Datos propios de 773 articulos publicados (mayo-octubre 2026)
- SCILabs / WeLiveSecurity (ESET) — Reporte H1 2026 ransomware LATAM
- Check Point, Fortinet, Kaspersky — Reportes de amenazas 2026
- Medios verificados: Infobae, Proceso, El Financiero, El Universal, La Silla Rota, AM Leon, Publimetro, Latinus, UnoTV
- Investigadores independientes: Victor Ruiz (SILIKN), Ignacio Gomez Villasenor (@ivillasenor)
- Zone-H — Registro de defacements
- Alertas CERT-MX / VECERT
La Brecha no ha accedido a los datos filtrados ni a los foros donde se comercializan. Todas las afirmaciones estan respaldadas por fuentes publicas verificables.