El sector público ha ocupado el primer puesto mundial en número de ciberataques con éxito en los últimos seis años. Las consecuencias de este tipo de ataques pueden ser devastadoras tanto para el Estado como para la sociedad, ya que provocan filtraciones de datos a gran escala y la interrupción del funcionamiento de los servicios críticos. Sin embargo, una protección eficaz de los sistemas gubernamentales no solo protege la información y los recursos, sino que también ayuda a reforzar la confianza de los ciudadanos en las instituciones gubernamentales.
Métodos de ataque
El método más empleado por los atacantes en los ciberataques contra organizaciones mexicanas es el uso de malware, involucrado en la mayoría de los ciberataques exitosos (80 %). Según nuestros datos, la popularidad de este método está aumentando a nivel mundial (un 60 % de los incidentes utilizaban malware en 2023, frente a un 66 % en el cuarto trimestre de 2024 – primer trimestre de 2025). Una de las principales razones de esta tendencia es la versatilidad y facilidad de implementación del malware. Este tipo de software automatizado permite llevar a cabo una gran variedad de actividades maliciosas, desde la ejecución remota de código hasta el cifrado y el robo de datos. Gracias a esto, los atacantes pueden reducir el esfuerzo técnico y centrarse en la planificación de los ataques, el desarrollo de campañas de phishing dirigidas y la explotación de la información robada. Todo indica que esta tendencia continuará en 2025, ya que el uso de este tipo de software tiene un umbral de entrada bajo y ofrece funcionalidades muy útiles para el atacante.
Figura 4. Métodos utilizados en ciberataques exitosos contra organizaciones en México (porcentaje)
Como resultado de la prevalencia del malware, las organizaciones se están convirtiendo en objetivos de ataques globales no dirigidos. Un ataque no dirigido supone que los atacantes no seleccionan un objetivo específico, sino que se dirigen a un amplio abanico de organizaciones o usuarios utilizando métodos de distribución masiva para propagar el malware. Las organizaciones que no son necesariamente el objetivo principal de los atacantes pueden estar en peligro si sus sistemas son vulnerables. La escala de estos ataques suele ser enorme, ya que afectan a varias empresas al mismo tiempo, lo que los hace especialmente peligrosos. Un ejemplo de este tipo de ataque es la propagación del nuevo troyano SteelFox, que comenzó en agosto de 2024. En noviembre de 2024, este malware se había detectado más de 11 000 veces en todo el mundo, aunque no estaba dirigido contra organizaciones o usuarios concretos. Este malware se propaga a través de foros, rastreadores de torrents y blogs, haciéndose pasar por software popular como AutoCAD, JetBrains y productos Foxit, y una vez instalado, recopila datos bancarios de los sistemas infectados. Debido al alcance global de la campaña y a la diversidad de los métodos de distribución, no ha sido posible atribuir con precisión este ataque a un grupo específico de ciberdelincuentes.
Otro método popular para llevar a cabo ciberataques en México es la ingeniería social, que se utilizó en casi la mitad (49 %) de los ataques exitosos contra el sector público. A diferencia, por ejemplo, de la explotación de vulnerabilidades técnicas, la ingeniería social se centra en el factor humano y se aprovecha de la confianza, la curiosidad o la falta de atención de los empleados. El éxito de los ataques de ingeniería social puede dar lugar al robo de datos confidenciales, el acceso a cuentas o la instalación de programas maliciosos, lo que supone una grave amenaza para la seguridad de una organización.
La mayoría de las veces, la ingeniería social se utiliza junto con troyanos de acceso remoto: en primer lugar, los atacantes engañan a una persona para que realice acciones que les den acceso a la infraestructura y, a continuación, introducen el malware. El escenario más común de este tipo de ataques es el envío de correos electrónicos de phishing con archivos adjuntos maliciosos, que asciende a un 49 % de todas las infecciones por malware. Los atacantes suelen utilizar como cebo documentos relacionados con organismos gubernamentales o acontecimientos políticos de actualidad. Por ejemplo, en febrero de 2024, los ciberdelincuentes distribuyeron correos electrónicos de phishing con temática fiscal a empresas industriales mexicanas para entregar el infosecuestrador Timbre Stealer.
Figura 5. Modos de distribución de malware en ciberataques con éxito (porcentaje)
En una cuarta parte de los ataques (25 %), los atacantes aprovecharon vulnerabilidades existentes en los sistemas. El éxito de estos ciberataques depende a menudo de la presencia de software obsoleto y de problemas en la configuración de los sistemas. Un ejemplo paradigmático es un incidente ocurrido en agosto de 2024, cuando la organización criminal de la Mafia Mexicana logró hackear el sitio web del Tribunal Supremo de México y acceder a bases de datos que contienen las credenciales de más de 300 000 usuarios e información confidencial sobre las operaciones del tribunal entre 2017 y 2024.
Continuando con los ataques, el 30 de marzo de 2024, la organización criminal publicó datos de la Policía Estatal de Oaxaca. Más tarde, el 3 de abril, hackeó el sitio web oficial del gobierno del estado de Oaxaca y publicó una imagen suya. La organización continuó sus ataques el 4 de abril, subiendo una canción a la web gubernamental que permaneció en la página durante al menos siete horas.
Consecuencias de los ciberataques
Los principales resultados de los ataques a las organizaciones mexicanas fueron la filtración de información confidencial y la interrupción de las principales operaciones empresariales, lo cual concuerda con la tendencia general de ataques contra organizaciones en América Latina y el Caribe, donde estos efectos se produjeron en el 59 % y el 40 % de los casos, respectivamente.
Más de la mitad de los ataques (54 %) tuvieron como consecuencia la filtración de información confidencial. Las filtraciones de datos personales, información gubernamental o secretos comerciales pueden acarrear importantes pérdidas económicas a particulares y organizaciones. Por ejemplo, la filtración de datos bancarios puede derivar en fraudes con tarjetas de crédito o el robo directo de fondos, mientras que la pérdida de información sobre secretos de Estado o instalaciones militares no solo puede amenazar la seguridad de un país, sino también escalar a conflictos internacionales. A menudo, este tipo de datos termina circulando en la web oscura, lo que agrava las consecuencias al aumentar los riesgos financieros, reputacionales y de seguridad.
La segunda consecuencia más común (36 %) de los ataques a organizaciones mexicanas fue la interrupción de las actividades principales de las organizaciones. Este tipo de incidentes puede afectar gravemente a los sistemas corporativos, paralizar procesos empresariales, retrasar entregas y provocar pérdidas de datos. Estos eventos no solo afectan la continuidad del negocio, sino que también provocan pérdidas económicas significativas y dañan la reputación de la organización, lo que compromete su sostenibilidad a largo plazo. Un ejemplo de este tipo de ataque es el incidente a la entidad bancaria mexicana Caja Popular Mexicana, que comprometió sus operaciones e interrumpió el acceso de los usuarios a los servicios bancarios. El incidente fue de tal magnitud que la Comisión Nacional inició una investigación formal: la interrupción de la actividad afectó, entre otras cosas, al funcionamiento de los cajeros automáticos y del sistema de pagos y se prolongó durante tres meses.
Métodos de los ataques al sector público mexicano
El método más común en los ciberataques contra las agencias gubernamentales mexicanas es también el uso de malware (71 %). Esta tendencia no solo se da en México, sino en todo el mundo, lo que pone de manifiesto la universalidad y eficacia del malware como herramienta para los ciberdelincuentes.
Figura 9. Métodos utilizados en ciberataques con éxito (porcentaje)
Por ejemplo, en noviembre de 2024 se detectó un gran ciberataque que hackeó la web oficial del gobierno federal mexicano y robó 313 GB de datos. RansomHub, un grupo de ransomware que utiliza software basado en RaaS en sus ataques, asumió la responsabilidad del ataque. Según los delincuentes, entre la información robada figuraban contratos, documentos de seguros, estados financieros y otros archivos confidenciales. Este incidente pone de manifiesto la necesidad de reforzar las medidas de seguridad para proteger los datos de ciudadanos y organismos públicos, especialmente con la digitalización del sector público.
El uso de modelos de negocio de malware por suscripción, como RaaS (Ransomware-as-a-Service) y MaaS (Malware-as-a-Service), se observa con frecuencia en todo el mundo. Estos servicios simplifican los ciberataques, ya que proporcionan a los atacantes soluciones listas para lanzar ataques, incluso sin tener profundos conocimientos técnicos. Además, rebajan el umbral de entrada a la ciberdelincuencia, lo que permite a cada vez más personas —incluidas personas sin experiencia— utilizar diversos programas maliciosos. Esto está provocando un aumento de los ciberataques e incrementando su diversidad y complejidad, lo que a su vez crea mayores amenazas para la seguridad de las organizaciones, entre ellas el sector público.
Los encriptadores (40 %) y los troyanos de acceso remoto (40 %) son los tipos de ataque más utilizados por los agresores. Esta tendencia es común tanto en el sector público mexicano como en el de otros países. En cambio, el spyware, muy utilizado en ciberataques contra organizaciones estatales a nivel mundial (22 %), es mucho menos común en México (7 %). sto se debe a que en el ciberespacio mexicano predominan los delincuentes con motivaciones económicas: los encriptadores y los troyanos son sus herramientas más comunes, mientras que el spyware suele ser característico de los grupos progubernamentales.
Figura 12. Tipos de malware utilizados en ciberataques exitosos (porcentaje)
Por otro lado, la explotación de vulnerabilidades es el segundo método más común en los ciberataques dirigidos a agencias gubernamentales mexicanas (33 %). Este dato difiere ligeramente de la tendencia general en el país, donde la ingeniería social ocupa el segundo lugar (49 %) y la explotación de vulnerabilidades el tercero (25 %).
En el caso específico del sector público en México, la ingeniería social representa el tercer porcentaje más alto de ciberataques exitosos (19%). El método más común de uso de la ingeniería social es el envío de correos electrónicos maliciosos. Por ejemplo, en abril de 2024 se dio a conocer una campaña de phishing a gran escala dirigida a una gran variedad de industrias en América Latina, incluidos organismos gubernamentales mexicanos. El grupo TA558 APT fue el responsable del ciberataque, que utilizaba correos electrónicos de phishing como vector de acceso inicial para instalar en los sistemas de las víctimas el troyano Venom RAT, que permite el control remoto de los sistemas y la recopilación de información confidencial.
El uso de ataques DDoS en ciberataques contra agencias gubernamentales mexicanas es poco común (5%), una cifra que contrasta significativamente con la tendencia global, donde el DDoS se utiliza en uno de cada cinco (18%) ciberataques exitosos contra organizaciones gubernamentales. El menor número de ataques DDoS podría deberse a la ausencia de conflictos militares activos y al hecho de que es más probable que los ciberdelincuentes presentes en el país tengan una motivación financiera y busquen formas de lucrarse, por ejemplo, mediante la extorsión o el robo de datos. En contextos sin conflictos armados, los ataques DDoS suelen ser menos frecuentes, ya que su objetivo es causar interrupciones temporales, más que generar ganancias directas. Al mismo tiempo, los ciberdelincuentes suelen evitar los ataques DDoS y prefieren métodos más eficaces que les permitan robar dinero directamente sin tener que dedicar recursos a ataques prolongados.
Quién ataca al sector público mexicano
Los atacantes que están detrás de los ciberataques al sector público pueden tener diferentes motivaciones:
- Ciberespionaje. El ataque se utiliza para espiar u obtener información importante.
- Ideología. Ciberdelincuentes que actúan por motivos ideológicos o para demostrar sus habilidades. Pueden tener una motivación política, pues los ataques pueden, por ejemplo, tratar de minar la confianza en los organismos gubernamentales o crear inestabilidad en el país.
- Beneficio económico. Los atacantes llevan a cabo ataques para obtener beneficios materiales, como la extorsión o el robo de datos para venderlos más tarde.
A menudo se dan situaciones en las que es imposible definir con claridad los motivos de un grupo: sus acciones oscilan entre el hacktivismo y la ciberdelincuencia con motivaciones económicas, lo que impide conocer sus verdaderos motivos. Un ejemplo de este tipo de grupo es el relativamente joven FuncSec, que en enero de 2025 reivindicó un ataque contra el sitio web del gobierno de la ciudad mexicana de Zapopan. El grupo surgió a finales de 2024 y rápidamente llamó la atención por sus tácticas agresivas y el número de entidades afectadas: en menos de un mes de actividad cibercriminal, los atacantes se cobraron más de 80 víctimas. Según un estudio de Check Point, FunkSec probablemente utiliza la IA para crear malware, y también ha desarrollado un bot diseñado para apoyar su actividad maliciosa.
Curiosamente, en marzo de 2025, el mismo recurso del gobierno de Zapopan fue atacado por el grupo extorsionista Babuk. Esto demuestra el interés de los atacantes por el sector público y puede indicar la ineficacia de las medidas adoptadas para hacer frente a las vulnerabilidades. El sitio web del gobierno de Zapopan sirve de portal para que los ciudadanos accedan a diversos servicios e información del gobierno, y un ciberataque exitoso que utilice ransomware podría interrumpir estos servicios, vulnerando datos confidenciales y socavando la confianza pública en el gobierno.
En algunos casos, un ciberataque puede parecer a primera vista un ataque de extorsión, pero en realidad detrás hay una motivación y unos participantes completamente distintos. Así lo demostró claramente el ciberataque a la fiscalía del estado mexicano de Nuevo León. En diciembre de 2024 se produjo una filtración de datos que vulneró unos 13 000 archivos. La investigación reveló que el hacker actuaba en nombre de un funcionario de una agencia gubernamental que dio al grupo de ciberdelincuentes acceso a un sistema interno. Esta acción estuvo motivada por el deseo del empleado de vengarse de sus superiores.
A su vez, los ataques de los hacktivistas pretenden llamar la atención sobre cuestiones sociales o políticas. Estas acciones pueden estar provocadas por cualquier desacuerdo ideológico, pero la mayoría de las veces buscan llamar la atención sobre cuestiones sociales o políticas. Por ejemplo, en junio de 2024, el Instituto Nacional Electoral de la Ciudad de México (IECM) reportó múltiples ciberataques ocurridos durante el recuento preliminar de los resultados de las elecciones al jefe de gobierno. Los atacantes utilizaron un ataque DDoS que envió una enorme cantidad de tráfico falso a los servidores del instituto, lo que provocó la sobrecarga y el fallo del sitio web del IECM.
Estos incidentes no solo debilitan la capacidad operativa de las instituciones del Estado e impiden la prestación de servicios a los ciudadanos, sino que también socavan la confianza pública en el Estado. Por ejemplo, en agosto de 2024, el grupo de hackers Ethersec Team Cyber llevó a cabo un ciberataque a la página web del gobierno de la ciudad mexicana de Tepetlaoxtoc, donde publicaron un mensaje. Esto provocó que los residentes no pudieran obtener los servicios gubernamentales necesarios, lo que a su vez pudo afectar negativamente a la percepción pública de la eficacia de la ciberseguridad gubernamental.
Un 28% de los ataques exitosos al sector público de México se atribuye a operadores de encriptadores, de los cuales el 75% tiene una motivación económica, es decir, atacan para obtener ganancias materiales y no solo para causar daños. Estos suelen cifrar datos con el fin de interrumpir procesos gubernamentales críticos, lo que requiere una acción gubernamental inmediata y aumenta las posibilidades de obtener el pago del rescate. Por ejemplo, en abril de 2023, la Comisión Nacional del Agua de México sufrió un ciberataque por parte del ransomware BlackByte, que cifró documentos y exigió un rescate. Los atacantes infectaron equipos informáticos en diversas partes de la organización, cifraron archivos de los últimos 15 años y provocaron la interrupción de su servicio de correo.
Filtraciones de información confidencial
Las filtraciones de datos representan otra amenaza importante para la seguridad del Estado; este tipo de incidentes se produjeron en uno de cada dos (52%) ataques con éxito contra organismos gubernamentales mexicanos. Los ciberdelincuentes suelen dirigir sus ataques a las bases de datos de los organismos públicos para obtener información sobre los ciudadanos, registros financieros y otra información confidencial. Estos datos pueden utilizarse para el chantaje con peticiones de rescate, el espionaje, pero lo más frecuente es que dicha información se venda posteriormente en foros especializados de la web oscura. La filtración de información confidencial puede tener efectos devastadores en procesos críticos del Estado.
El interés de los atacantes por los datos sensibles se ve confirmado por los datos de web oscura: una parte predominante de los anuncios está vinculada con bases de datos (59%).
Figura 17. Distribución temática de los anuncios relacionados con el sector público mexicano
Cuando las organizaciones gubernamentales se pasan a las plataformas digitales, se vuelven vulnerables a las ciberamenazas. Estos sistemas almacenan grandes volúmenes de información sensible. La filtración de estos datos puede provocar eventos inadmisibles1, como amenazas a la seguridad nacional, pérdida de confianza de los ciudadanos en los organismos gubernamentales e incluso pérdidas económicas.
El principal objetivo de los atacantes durante el periodo analizado fueron los datos personales, que pueden incluir información tanto de ciudadanos como de funcionarios públicos: su porcentaje fue del 44%. Esto podría estar relacionado con la actividad de los extorsionadores de la región, quienes buscan acceder a información confidencial para llevar a cabo chantajes.
- Un evento inadmisible se define como aquel que imposibilita la consecución de los objetivos operativos y/o estratégicos de la organización, o que provoca una interrupción significativa de su actividad principal.
Figura 18. Tipos de datos robados en ciberataques al sector público mexicano
En mayo de 2024 se informó que las contraseñas de los usuarios de la plataforma Llave CDMX, la principal herramienta digital para la gestión de documentos y servicios, habían sido vulneradas. La filtración de datos afectó a 6,3 millones de usuarios y expuso información sensible como el nombre completo, el número de registro, la dirección de correo electrónico, la fecha de nacimiento y el número de teléfono móvil. Los documentos que los usuarios almacenaban en sus cuentas personales quedaban a disposición de cualquiera que accediera a esas contraseñas. Además, el 5 de abril de 2024 los delincuentes anunciaron un exitoso ciberataque al sitio web del gobierno de Copalillo en el que lograron robar una base de datos. Esta contiene 50 000 registros con información personal, incluidos nombres, fechas de nacimiento, información médica, grupos sanguíneos, direcciones residenciales, datos de contacto, fotografías y firmas.
En uno de cada cuatro ciberataques exitosos, los atacantes mostraron interés en secretos comerciales (28%). Ello se debe al especial valor de estos datos para las organizaciones y, en consecuencia, para los atacantes. Con frecuencia, estos datos se publican posteriormente en la web oscura. Por ejemplo, el 6 de febrero de 2025, un sitio clandestino dio a conocer datos del departamento de tecnologías de la información del Ayuntamiento de Pachuca que incluían información de empleados, documentos, reportes de fallas y equipos dañados, así como datos de infraestructura desde enero de 2012 hasta enero de 2025. Una de las teorías que se barajan en relación con el incidente es la posibilidad de que un empleado de la organización estuviera implicado en el ataque, lo que pone aún más de relieve la necesidad de reforzar las medidas de seguridad internas de los organismos gubernamentales.
