Correo de los Viernes - Uruguay, un país digital cada vez más vulnerable

Uruguay, un país digital cada vez más vulnerable

Viernes 16 de octubre de 2026. Lectura: 6'

Por Santiago Torres

El sabotaje informático que afectó a cientos de supermercados franceses constituye una advertencia que Uruguay no debería ignorar. Nuestro país acumula ataques contra organismos públicos, filtraciones masivas de información y accesos ilegales a sistemas sensibles. Mientras la digitalización avanza, los riesgos se multiplican. La pregunta es si estamos desarrollando las capacidades necesarias para proteger los datos de los ciudadanos y, sobre todo, el funcionamiento de los servicios esenciales.

El reciente sabotaje informático contra cientos de supermercados franceses demostró que los ataques cibernéticos pueden trascender ampliamente el robo de información o la interrupción de una página web. Los delincuentes lograron intervenir a distancia los sistemas de refrigeración, alterar sus temperaturas y provocar la pérdida de enormes cantidades de alimentos, con perjuicios económicos millonarios.

El episodio, que también encendió las alarmas en otros países europeos, puso de manifiesto una realidad inquietante: equipos industriales aparentemente ajenos al mundo de la informática pueden convertirse en objetivos de sabotaje cuando sus sistemas de control están conectados a Internet.

¿Podría ocurrir algo semejante en Uruguay? No existe fundamento para afirmar que nuestras instalaciones industriales estén expuestas a las mismas vulnerabilidades. Pero tampoco sería prudente descartar esa posibilidad, especialmente cuando nuestro país tiene un historial de incidentes informáticos que debería preocuparnos mucho más de lo que parece que lo está haciendo.

Una sucesión de ataques preocupante

En los últimos años, diversos organismos públicos uruguayos han sido objeto de accesos no autorizados, robos de información, filtraciones y ataques contra sus plataformas digitales.

Durante 2025, por ejemplo, se conocieron denuncias de filtraciones que afectaron al Ministerio de Desarrollo Social, con más de 37.000 documentos expuestos; a la Dirección Nacional de Migración, con información correspondiente a unas 15.000 solicitudes de visa, incluyendo documentos de identidad y fotografías; y a la Universidad de la República, con datos personales de centenares de docentes.

También circularon informaciones personales del presidente Yamandú Orsi y se denunciaron ataques contra distintas dependencias estatales.

A ello se sumó la difusión atribuida al grupo de ciberdelincuentes denominado Tacuara de unos 170 gigabytes de documentación vinculada a organismos públicos, entre ellos la Oficina de Planeamiento y Presupuesto. Entre los materiales señalados figuraban comunicaciones internas, documentos administrativos, liquidaciones salariales y antecedentes presupuestales.

El mismo grupo afirmó haber obtenido cientos de miles de registros relacionados con la Corte Electoral, aunque en ese caso las autoridades no habían constatado una filtración de sus sistemas y pusieron en duda aspectos de la información difundida.

La distinción importa: no todas las denuncias de los atacantes han sido verificadas, ni toda información expuesta procede necesariamente de una intrusión directa en el organismo mencionado. Pero el conjunto de episodios revela un problema persistente y de considerable magnitud.

Un antecedente particularmente grave fue el ataque sufrido por el Banco Hipotecario del Uruguay en setiembre de 2025. Los delincuentes sustrajeron una enorme cantidad de información y exigieron un rescate. El banco no lo pagó y debió emprender una costosa reconstrucción de sus sistemas. En julio de este año, sus autoridades informaron al Parlamento que habían destinado unos 12 millones de pesos a tareas de recuperación.

Más recientemente, en mayo de 2026, Antel reconoció un acceso no autorizado a su plataforma de identidad digital TuID. La investigación posterior determinó que podían haberse comprometido datos biométricos de hasta 163 usuarios, correspondientes a registros antiguos de huellas dactilares. La empresa aseguró que no fueron vulneradas las contraseñas ni las claves de firma digital. Sin embargo, el episodio alcanzó un sistema particularmente sensible por su función en la identificación electrónica de personas.

Ni siquiera puede considerarse que los ataques respondan exclusivamente a grandes organizaciones criminales internacionales. En octubre de 2025, el Ministerio del Interior informó sobre la condena de un individuo responsable de múltiples intrusiones, alteraciones de sitios web y difusión de información personal obtenida ilegalmente.

Las cifras que deberían encender las alarmas

Los datos oficiales permiten dimensionar el problema.

Según el Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy), en 2022 se registraron 4.169 incidentes; en 2023 fueron 4.968; en 2024, 14.264; y en 2025, nada menos que 42.768.

Durante los primeros seis meses de 2026 ya se habían contabilizado otros 32.399 incidentes. Aunque sólo una pequeña proporción fue clasificada como de severidad alta o muy alta, el crecimiento resulta suficientemente significativo como para reclamar atención.

Las cifras reflejan tanto la evolución de las amenazas como la capacidad de detección y registro. No permiten concluir, por sí solas, que todos los sistemas sean cada vez menos seguros. Pero tampoco admiten indiferencia.

Del robo de datos al sabotaje de servicios esenciales

Hasta ahora, buena parte de la atención pública uruguaya se ha concentrado en la sustracción de información personal, los fraudes electrónicos y las filtraciones de documentos estatales.

El episodio francés obliga a ampliar esa perspectiva.

¿Qué ocurriría si un ataque coordinado alterara los sistemas de refrigeración de nuestros frigoríficos, las cámaras de conservación de alimentos o los depósitos de medicamentos? ¿Qué consecuencias tendría una intrusión en los controles industriales de las instalaciones de OSE o de UTE? ¿Están suficientemente protegidos los sistemas informáticos que sostienen las operaciones portuarias, los servicios de salud y las comunicaciones?

No se trata de afirmar que esas instalaciones sean inseguras. Se trata de exigir que sus niveles de protección sean evaluados, comprobados y actualizados periódicamente.

Uruguay cuenta con Agesic, CERTuy y una Estrategia Nacional de Ciberseguridad 2024-2030. También ha desarrollado un marco normativo que obliga a determinadas entidades públicas y privadas vinculadas a servicios críticos a comunicar sus incidentes informáticos. Son avances importantes que corresponde reconocer.

Pero la existencia de organismos, estrategias y normas no equivale necesariamente a disponer de sistemas suficientemente protegidos. La verdadera prueba consiste en conocer si se realizan auditorías independientes, si las vulnerabilidades detectadas se corrigen oportunamente, si existen mecanismos alternativos para mantener los servicios y si las instituciones están preparadas para responder coordinadamente ante un ataque de gran escala.

Una cuestión de seguridad nacional

Uruguay ha hecho de su desarrollo digital un motivo legítimo de orgullo. La informatización del Estado, la extensión de los trámites electrónicos y la modernización de los servicios constituyen conquistas que nadie debería poner en discusión.

Precisamente por eso, su protección debe convertirse en una prioridad nacional.

La ciberseguridad no puede seguir siendo considerada una responsabilidad exclusiva de los técnicos informáticos, ni un gasto secundario que se atiende después de sufrir un ataque. Requiere inversiones sostenidas, personal especializado, controles exigentes y responsabilidades institucionales claramente establecidas.

También exige una participación activa del sector privado. Los supermercados franceses demostraron que la vulnerabilidad de un proveedor tecnológico puede comprometer simultáneamente a cientos de establecimientos. Una empresa puede haber protegido adecuadamente sus sistemas administrativos y, sin embargo, mantener expuestos los equipos industriales de los que depende su actividad.

El país necesita saber si sus infraestructuras críticas están preparadas para enfrentar esa clase de amenazas y qué planes existen para garantizar la continuidad de los servicios esenciales.

Los antecedentes uruguayos muestran que los delincuentes informáticos ya han logrado penetrar sistemas sensibles y sustraer información de enorme valor. Francia acaba de recordarnos que el siguiente paso puede ser mucho más grave: intervenir el funcionamiento de instalaciones físicas y provocar daños económicos y materiales.

La pregunta ya no es si Uruguay puede ser atacado. Eso ha quedado sobradamente demostrado. La pregunta es si estamos haciendo lo suficiente para impedir que el próximo ataque tenga consecuencias mucho más graves que una filtración de datos.