Los datos de los costarricenses en la dark web: qué pasó y qué puede venir ahora

Hay noticias de tecnología que parecen lejanas hasta que uno se da cuenta de que podrían afectar algo tan cotidiano como su número de teléfono, su dirección, su correo electrónico o incluso información sobre su salario.

Durante los últimos días, una publicación en la dark web puso en alerta a las autoridades costarricenses. Un actor de amenazas aseguró tener una base de datos con más de 400 millones de líneas de información relacionadas con personas en Costa Rica, incluyendo nombres, teléfonos, direcciones, correos electrónicos, fotografías y otros datos personales. Sin embargo, hay que hacer una aclaración importante: 400 millones de registros no significa 400 millones de personas afectadas, y tampoco se ha confirmado que toda la información publicada sea auténtica.

Lo que sí está confirmado es que las autoridades revisaron una muestra de aproximadamente 10.000 líneas proporcionada por el atacante y encontraron información que corresponde a datos reales. Eso fue suficiente para que el caso pasara de ser una simple publicación en internet a una investigación formal para determinar de dónde salió la información, qué cantidad podría ser legítima y quiénes podrían estar afectados.

En medio de esta investigación apareció el nombre de Cero Riesgo, empresa que indicó que está analizando si parte de los datos publicados pudo haber sido extraída de sus sistemas. La compañía también confirmó haber recibido una cantidad elevada de ataques contra su infraestructura, pero hasta ahora no se ha establecido públicamente que sus sistemas hayan sido la fuente de toda la información divulgada.

Y aquí está precisamente una de las partes más importantes de esta historia: todavía no sabemos exactamente de dónde salió la información.

La Agencia de Protección de Datos de los Habitantes, Prodhab, abrió de oficio el expediente administrativo N.° 425-09-2026 y solicitó información para determinar el origen y alcance de la posible exposición. Paralelamente, el caso también está siendo analizado en el ámbito judicial. Para llegar a una conclusión será necesario realizar investigaciones técnicas y forenses que permitan relacionar los datos publicados con una fuente concreta.

Entonces, ¿qué significa esto para una persona común?

El principal riesgo no necesariamente es que mañana alguien vacíe nuestra cuenta bancaria. El problema puede ser mucho más silencioso. Cuando delincuentes consiguen información real de una persona, pueden utilizarla para construir engaños mucho más convincentes.

Por ejemplo, un delincuente podría conocer nuestro nombre, teléfono, dirección o incluso información laboral y utilizar esos datos para hacerse pasar por un banco, una institución pública, una empresa de servicios o alguna persona conocida. Un mensaje que normalmente ignoraríamos puede resultar mucho más creíble cuando contiene información verdadera sobre nosotros.

Ese es uno de los mayores riesgos de una filtración de datos: la información robada puede utilizarse posteriormente para phishing, fraude, suplantación de identidad, extorsión y otras formas de ingeniería social. Expertos consultados por medios nacionales han advertido precisamente sobre estos posibles usos.

Y probablemente aquí es donde veremos el efecto durante los próximos meses.

La investigación continuará para determinar el origen y la verdadera dimensión de la información. Si se confirma que determinados datos personales fueron expuestos de manera indebida, podrían existir consecuencias administrativas y legales dependiendo de cómo fueron tratados y protegidos esos datos. Al mismo tiempo, las personas eventualmente identificadas como afectadas podrían recibir notificaciones o recomendaciones específicas conforme avance la investigación.

Pero hay otra consecuencia que no depende de una investigación judicial: los intentos de estafa pueden aparecer mucho después de que una filtración sea noticia.

Por eso, durante las próximas semanas y meses conviene desconfiar especialmente de mensajes inesperados que soliciten contraseñas, códigos de verificación, información bancaria o fotografías de documentos. También es recomendable utilizar contraseñas únicas, activar la autenticación multifactor cuando esté disponible y revisar regularmente los movimientos de las cuentas financieras.

Lo más importante es no caer en el pánico, pero tampoco ignorar el asunto.

Una filtración de datos no significa automáticamente que todas las personas cuyos datos aparecen en una base vayan a convertirse en víctimas de un delito. Pero cuando información personal verdadera comienza a circular fuera de los canales para los que fue recopilada, el riesgo cambia.

Y quizá esa sea la principal lección de este caso: nuestros datos personales tienen valor. Un número de teléfono se puede cambiar, pero un nombre, una fotografía, una dirección, un número de identificación o determinados antecedentes personales pueden permanecer asociados a nosotros durante muchos años.

Por ahora, la historia todavía no está completamente resuelta. Las autoridades continúan tratando de determinar de dónde salió la información, cuánto de lo publicado es auténtico y quiénes podrían estar afectados.

Mientras esas respuestas llegan, lo más sensato para cualquier costarricense es asumir una postura sencilla: no entrar en pánico, pero sí aumentar la atención. Porque en una época donde nuestros datos circulan constantemente por bancos, comercios, instituciones, aplicaciones y servicios digitales, la seguridad informática ya no es solamente un problema de las grandes empresas.

También es un problema de cada uno de nosotros.