En los últimos meses se ha hablado mucho de la exposición de datos personales vinculada a un portal del Registro Nacional de Identificación y Estado Civil (RENIEC). Más allá de los titulares, detrás de este caso hay una verdad incómoda pero necesaria de reconocer: no se trató de un “súper hackeo hollywoodense”, sino de un servicio web mal diseñado que dejó una puerta abierta. Este artículo busca explicar, en lenguaje sencillo, qué ocurrió, por qué es tan grave y qué deberían hacer tanto las instituciones públicas como nosotros, los ciudadanos, para proteger mejor nuestra identidad digital.
RENIEC y la identidad digital: mucho más que un simple trámite
RENIEC no solo resguarda nuestro nombre y número de DNI sino que también administra información personal altamente sensible:
- Datos biométricos (huellas, rostro, firma digitalizada)
- Direcciones y datos de residencia
- Información que se cruza con procesos electorales
Todo ese conjunto de información tiene un valor enorme: permite confirmar nuestra identidad, asegurar la transparencia de los procesos electorales y sostener el funcionamiento cotidiano del Estado. Por ello, desde una perspectiva técnica, los sistemas de RENIEC deberían considerarse Infraestructura Crítica, al mismo nivel que un sistema eléctrico o una red de telecomunicaciones, porque si fallan se compromete la seguridad del país, la confianza institucional y la vida diaria de millones de personas.
No fue un «hacker genial»: fue una puerta mal cerrada
En este caso, el problema no estuvo en un delincuente súper sofisticado que «rompió” la base de datos central, sino en un servicio web público de consulta ofrecidos por RENIEC en cumplimiento de la Ley Electoral, público en el portal web: sisbi.reniec.gob.pe/PLPI el PADRON ELECTORAL INICIAL del 27 al 31 de octubre del 2025 y funcionaba con controles de seguridad muy débiles.
Ese portal permitía validar datos ingresando, por ejemplo:
- Número de DNI
- Dígito verificador
- Fecha de emisión
Adicionalmente RENIEC indicó que:
- No hubo hackeo, sino exposición a través de un servicio web.
- Sí existió trazabilidad de los usuarios que ingresaron.
- Hubo monitoreo permanente
- La ley los faculta a mostrar información de terceros para permitir el proceso de tachas en época electoral.
Hasta allí, todo podría parecer normal. El problema fue cómo estaba construido el sistema:
- No tenía límites claros de intentos por usuario: se podían hacer miles de consultas por minuto.
- No había un CAPTCHA efectivo que frenara programas automáticos (bots).
- Permitía una ventana de acceso suficiente para que un script extrajera información masiva.
En términos técnicos, se combinan varios errores:
- Control de acceso deficiente (Broken Access Control)
- Ausencia de límites de consulta (Insufficient Rate Limiting)
- Configuración insegura del servicio (Security Misconfiguration)
No fue necesario “romper la puerta”: bastó con aprovechar que estaba mal cerrada.
«[D]etrás de este caso hay una verdad incómoda pero necesaria de reconocer: no se trató de un “súper hackeo hollywoodense”, sino de un servicio web mal diseñado que dejó una puerta abierta».
¿Qué riesgos concretos se generan para los ciudadanos?
Cuando datos como nombres completos, número de DNI, dirección y hasta fotografías quedan expuestos, las consecuencias son muy reales:
- Suplantación de identidad: abrir cuentas bancarias, pedir préstamos o contratar servicios a nombre de otra persona.
- Fraudes financieros y estafas: usar nuestros datos para operaciones en línea o créditos rápidos.
- Ingeniería social avanzada: llamadas o mensajes que parecen “demasiado reales” porque el delincuente sabe quiénes somos, dónde vivimos o con quién vivimos.
- Uso de fotos para deepfakes o extorsión.
- Riesgos adicionales para autoridades, policías, militares o personas en situación vulnerable, cuyos datos pueden ser usados para amenazas o acoso dirigido.
En palabras simples, esta información se convierte en “materia prima” de alto valor para el delito digital, ya que puede venderse, cruzarse con otras filtraciones anteriores y reutilizarse repetidamente.
¿Qué debería hacer una entidad como RENIEC después de un incidente así?
La reacción no puede limitarse a “cerrar la página” y publicar un comunicado. Técnicamente, los pasos inmediatos deberían incluir:
- Preservar la evidencia, siguiendo una cadena de custodia digital, para no alterar los registros que después permitirán saber qué pasó.
- Analizar los registros de acceso (logs) para entender cuántas consultas se hicieron, desde qué direcciones IP, en qué periodo y con qué patrones.
- Aplicar controles urgentes:
o Implementar CAPTCHA robustos
o Limitar el número de consultas por usuario, IP o periodo de tiempo
o Ajustar el firewall de aplicaciones (WAF) para bloquear extracción masiva - Coordinar con la Autoridad Nacional de Protección de Datos Personales (ANPD), para asegurar que las obligaciones legales de transparencia no se traduzcan en exposición de datos sensibles como biometría o direcciones.
- Revisar si existen otros servicios similares con riesgos parecidos.
En paralelo, se debe hacer una investigación forense seria: reconstruir consultas, identificar si hubo automatización, revisar la integridad de los sistemas y descartar o confirmar intrusiones más profundas, siguiendo estándares como la guía NIST SP 800-61 para manejo de incidentes de seguridad.
Cambios de fondo: de «cumplir la ley» a proteger de verdad al ciudadano
Un aprendizaje clave de este caso es que cumplir con la ley no basta. Es posible publicar datos respaldados por una norma electoral y, aun así, hacerlo de forma insegura.
¿Qué cambios estructurales se necesitan?
- Declarar formalmente estos sistemas como Infraestructura Crítica
- Realizar evaluaciones de impacto a la privacidad (PIA) antes de abrir cualquier portal que muestre datos personales
- Integrar la seguridad desde el inicio del desarrollo de software (DevSecOps), y no al final como un parche
- Adoptar una arquitectura Zero Trust: ningún usuario ni sistema se considera confiable por defecto; cada acceso se valida de manera estricta
- Hacer auditorías y pruebas de penetración periódicas con equipos externos
- Implementar monitoreo inteligente (por ejemplo, sistemas SIEM con análisis de comportamiento) para detectar patrones de scraping o automatización anormal
En cuanto a tecnología, no se trata solo de “comprar más equipos”, sino de usar bien herramientas como:
- Firewalls de aplicación (WAF) bien configurados.
- CAPTCHA avanzados.
- Autenticación multifactor para personal interno.
- API gateways que controlen qué datos se devuelven y a quién.
- Cifrado robusto según estándares internacionales.
«En palabras simples, esta información se convierte en “materia prima” de alto valor para el delito digital, ya que puede venderse, cruzarse con otras filtraciones anteriores y reutilizarse repetidamente».
¿Y qué puede hacer el ciudadano?
Aunque la mayor responsabilidad recae en las instituciones que administran nuestros datos, los ciudadanos no estamos totalmente indefensos. Hay varios hábitos que ayudan a reducir riesgos:
- Desconfiar de llamadas o mensajes que, aunque tengan muchos datos reales, pidan claves, códigos o fotos de documentos
- Activar siempre que sea posible la autenticación en dos pasos (por ejemplo, en banca móvil o correos)
- Revisar periódicamente movimientos bancarios y reportar de inmediato cualquier operación sospechosa
- Evitar compartir fotos de DNI o documentos en redes sociales o chats abiertos
- Practicar las normas básicas de Higiene cibernética:
- No abrir cualquier archivo adjunto «llamativo» que llega a un correo desconocido
- No descargar aplicaciones o archivos de cualquier parte (nube y USB)
- No hacer caso a alertas de conexión insegura
- Creer que no es necesario un antivirus
- Cuidado con las wifi públicas gratuitas
- Realizar las actualizaciones de seguridad
- Hacer un clic en enlaces seguros y conocidos
- Usar claves robustas
- No contar toda tu vida en redes sociales
- Tener copias de seguridad
La identidad digital hoy es tan importante como la llave de nuestra casa: si alguien la copia o la usa indebidamente, puede causar mucho daño.
Un llamado a tomarnos en serio la identidad digital
Este caso deja una lección clara para todo el sector público:
- Un portal web mal diseñado puede ser tan peligroso como una base de datos completamente vulnerada.
- La transparencia mal gestionada, sin filtros ni salvaguardas, puede terminar dañando a los mismos ciudadanos que se busca informar.
- La identidad digital ya no es un tema “técnico” reservado a informáticos; es un componente central de la soberanía tecnológica y de la seguridad nacional.
Al final, se trata de algo sencillo de expresar pero difícil de implementar. Si el Estado nos pide confiarle nuestros datos más sensibles, tiene el deber de protegerlos con el mismo rigor que aplica a su infraestructura militar, sus comunicaciones estratégicas o sus sistemas financieros. La confianza digital no se decreta: se construye, se cuida y puede perderse en un solo descuido.
