Autoridades de Ucrania y Rusia confirmaron que sus aplicaciones oficiales de alerta de emergencia fueron blanco de ciberataques, según informó la agencia AP. Usuarios en territorio ucraniano recibieron avisos falsos de amenaza nuclear inminente; del lado ruso, también se reportaron alertas apócrifas, aunque el contenido no fue confirmado en detalle.
Los incidentes ocurrieron el domingo a la noche —según se informó, horas después del fin de un cese al fuego limitado entre ambos países— y pusieron en evidencia la vulnerabilidad de infraestructuras críticas de comunicación pública. Ucrania señaló que su servicio de alertas, del que dependen millones de ciudadanos para buscar refugio ante ataques aéreos diarios, fue manipulado para difundir información de pánico masivo. No quedó claro, según las fuentes disponibles, si los ataques de ambos lados tuvieron un origen común o fueron operaciones independientes.
Datos confirmados al cierre de esta nota
- Dos países afectados: Ucrania y Rusia, con incidentes reportados en sus respectivas apps de alerta pública.
- Contenido de la alerta falsa en Ucrania: advertencia de amenaza nuclear inminente, según AP.
- Momento del ataque: domingo a la noche, en torno al fin de un cese al fuego de alcance limitado.
- Vínculo entre ambos ataques: no confirmado. Las autoridades de cada país lo trataron como incidente separado.
Qué se sabe y qué falta confirmar
Está confirmado que los sistemas de alerta fueron accedidos de manera no autorizada y que se emitieron notificaciones falsas a usuarios reales. Lo que permanece sin verificar es el vector de ataque, la identidad de los responsables, y si existió coordinación entre ambas operaciones. Tampoco se conoce el número de usuarios que recibieron las alertas falsas ni si hubo reacciones de pánico con consecuencias físicas documentadas. Las autoridades de ninguno de los dos países atribuyeron públicamente la responsabilidad a un actor estatal o no estatal específico.
En el plano de la protección de datos personales, este tipo de incidentes presenta una arista relevante: las apps de alerta de emergencia recopilan, en la mayoría de los países, datos de geolocalización y, en algunos casos, información de identidad del titular del dispositivo. En América Latina, aplicaciones equivalentes —como los sistemas de alerta temprana de México (SASMEX) o las plataformas de alertas sísmicas en Chile y Perú— operan bajo marcos normativos de protección de datos que obligan a notificar brechas a las autoridades competentes. En México, la LFPDPPP exige notificación al INAI cuando se comprometen datos personales en posesión de responsables privados; para entidades públicas, aplican las leyes de protección de datos en posesión de sujetos obligados de cada estado. En Argentina, la Ley 25.326 y la Agencia de Acceso a la Información Pública (AAIP) establecen obligaciones similares, con un proyecto de reforma en curso que endurecería los plazos de notificación.
El escenario ucraniano-ruso, aunque enmarcado en un conflicto bélico activo, ilustra un riesgo que los equipos de seguridad y privacidad de cualquier país deben considerar: la manipulación de canales oficiales de comunicación de emergencia no solo genera pánico, sino que puede exponer datos de millones de personas si el acceso no autorizado alcanzó las bases de usuarios registrados. Ninguna de las dos partes confirmó si hubo exfiltración de datos personales además de la emisión de alertas falsas.
La próxima definición crítica es si alguna de las autoridades involucradas confirma exfiltración de datos de usuarios, lo que activaría obligaciones de notificación formal bajo sus respectivos marcos legales —y elevaría el incidente de manipulación informativa a brecha de datos de escala nacional.
