Hasta 70.000 registros de identidad quedaron expuestos tras una brecha en un sitio web del gobierno del estado indio de Rajastán, según informó India Today el 21 de octubre de 2025. El incidente pone en foco los controles de acceso y la clasificación de datos en portales públicos, una debilidad compartida por varios gobiernos de América Latina.
Según se informó, la brecha afectó a un portal oficial del gobierno de Rajastán y habría comprometido registros que incluyen datos de identidad de ciudadanos. La cifra reportada asciende a hasta 70.000 registros, aunque las autoridades locales no habían confirmado públicamente el alcance exacto al momento de la publicación. No se especificó si los datos fueron exfiltrados o si la exposición se debió a una configuración incorrecta de acceso público en el sistema.
Datos confirmados y lo que aún falta verificar
- Registros potencialmente expuestos: hasta 70.000
- Tipo de datos: registros de identidad de ciudadanos
- Organismo afectado: sitio web del gobierno del estado de Rajastán, India
- Fecha de reporte: 21 de octubre de 2025 (India Today)
- Causa raíz: no confirmada públicamente al cierre de esta nota
- Exfiltración confirmada: no verificada; se reporta exposición, no necesariamente descarga masiva
Lo que el caso replica en portales de gobierno latinoamericanos
Incidentes de este tipo tienen un espejo directo en la región. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) ha intervenido en casos de exposición de bases de datos estatales, bajo el marco de la Ley 25.326 de Protección de los Datos Personales, que establece la obligación de adoptar medidas técnicas y organizativas adecuadas para la seguridad de los datos. En Brasil, la Lei Geral de Proteção de Dados (LGPD) impone al operador público la notificación a la Autoridade Nacional de Proteção de Dados (ANPD) en casos de incidentes de seguridad con riesgo relevante, en un plazo que la ANPD ha acotado a dos días hábiles para incidentes graves. En México, el Instituto Nacional de Transparencia (INAI) tiene competencia para investigar brechas en organismos públicos federales bajo la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados.
El patrón recurrente en estos incidentes —tanto en Asia meridional como en América Latina— es la ausencia de controles básicos de gobernanza: sin clasificación formal del dato, sin un data owner identificable para el sistema, y sin monitoreo de accesos anómalos. Portales de servicios ciudadanos suelen consolidar datos de identidad de alta sensibilidad sin los controles de acceso equivalentes. La exposición puede ocurrir sin intervención maliciosa: una configuración incorrecta de permisos en el servidor, un endpoint no autenticado, o un archivo indexado públicamente son vectores frecuentes que no requieren capacidad técnica sofisticada.
La próxima definición crítica es si las autoridades de Rajastán confirman exfiltración activa: ese dato determinará si el incidente escala a notificación obligatoria bajo la ley de protección de datos de India (DPDPA 2023) y si los afectados deben ser comunicados individualmente.
