Guatemala hackeada

Punto de vista

No soy experta en ciberseguridad, ni pretendo serlo. Mi aproximación a este tema es la de una ciudadana que observa, pregunta y trata de entender cómo las decisiones, o la falta de ellas, impactan la vida diaria, los derechos y la confianza en las instituciones. Desde ese lugar, esta reflexión no busca sustituir los análisis técnicos, sino poner sobre la mesa algunas preocupaciones y preguntas que hoy resultan difíciles de ignorar en un país cada vez más dependiente de lo digital.

En Guatemala, “hackeo” dejó de ser una palabra asociada a las películas. En semanas recientes, distintas plataformas públicas y académicas han reportado ataques y filtración de datos personales. Los detalles pueden variar, si fue un ataque a un portal institucional, el robo de una base de datos, etc., pero la sentencia es la misma: la vida digital está sostenida por sistemas frágiles y, cuando fallan, el mayor golpe le cae al ciudadano.

La prensa ha documentado una seguidilla de incidentes: ataques a instituciones del Estado como la Digecam y el portal “Tu Empleo” del Ministerio de Trabajo, además de alertas en universidades; incluso se habla de extracción masiva de registros y documentos en algunos casos. En paralelo, el propio Ejecutivo ha reconocido la vulnerabilidad del país y la urgencia de reformas, mientras en el Congreso sigue en discusión la iniciativa de Ley 6347 de Ciberseguridad, que plantea tipificar delitos y crear un centro nacional de respuesta (CSIRT-GT). 

Un elemento relevante que suele pasar desapercibido en este debate es que el dictamen favorable con modificaciones presentado en el Congreso subrayó que el proceso de revisión y análisis de la iniciativa fue participativo, con aportes del sector público, el sector privado, embajadas y organizaciones internacionales. Ese enfoque no es menor porque indica una apertura hacia estándares y consensos internacionales en materia de ciberseguridad y ciberdelincuencia. En la práctica, este tipo de procesos amplios y multisectoriales puede allanar el camino para que Guatemala considere, en el futuro, su adhesión al Convenio de Budapest sobre ciberdelincuencia, el principal marco internacional de cooperación para la prevención, investigación y persecución penal de delitos informáticos. 

En resumen, la realidad es incómoda y preocupante: no estamos frente a eventos aislados, sino ante una falla de sistema.

¿Por qué nos pasa? Porque durante años tratamos la ciberseguridad como un “extra”, algo que se compra al final del proyecto, cuando ya se gastó el presupuesto y se inauguró el sistema. 

A esto se suma una señal institucional que no puede ignorarse: en la Agenda Nacional de Riesgos y Amenazas, la ciberseguridad aparece, pero no con el peso estratégico que hoy exige la realidad. En un documento que orienta prioridades del Estado y define qué riesgos merecen atención política, presupuestaria y operativa, las ciberamenazas siguen tratándose como un componente más, casi residual, y no como lo que son: un riesgo transversal que afecta todos los ámbitos posibles: seguridad, economía, derechos ciudadanos y gobernabilidad. Si un problema no está claramente jerarquizado en la agenda formal, en la práctica no existe. Y mientras la ciberseguridad no tenga estatus de amenaza crítica, el país seguirá reaccionando tarde y mal.

Sumado a esto, y conviene decirlo con claridad, Guatemala no parte de cero. Desde el Viceministerio de Tecnología del Ministerio de Gobernación se elaboraron estrategias y diagnósticos en materia de ciberseguridad y se discutió durante años la necesidad de un equipo nacional de respuesta. Pero esos esfuerzos nunca lograron convertirse en política de Estado. No hubo continuidad, ni presupuesto, ni una autoridad técnica con mandato claro. El resultado es el que hoy vemos: una estrategia que quedó en papel y un CSIRT que todavía se discute en el Congreso, mientras los ataques ya ocurren. 

En ese sentido, la única respuesta a este tema no puede ser solo “cerrar el sitio” y emitir un comunicado. Un país que pretende digitalizar trámites en todos los espacios posibles, como salud, educación, impuestos y empleo necesita gobernanza. 

Si se crea un CSIRT, su credibilidad dependerá de que sea técnico, profesional y con canales claros de reporte; y de que pueda trabajar con el sector privado sin convertir la seguridad en una pelea política. Además, cada incidente debería venir acompañado de transparencia responsable: qué pasó, qué datos se vieron comprometidos, qué se hizo para contenerlo y qué medidas tomará la institución para que no se repita.

Dicho lo anterior y en medio de esta crisis, también conviene cuidar el equilibrio. Las emergencias suelen acelerar decisiones políticas y el riesgo es legislar desde el susto. La Ley de Ciberseguridad es necesaria, pero su aprobación no debería estar impulsada por la urgencia mediática de los ataques recientes, sino por un debate técnico serio, transparente y deliberado. La ciberseguridad no se construye bien cuando se hace a contrarreloj.

Y no, esto no es “solo del gobierno”, el sector privado debe estar en primera fila. También para este sector es un llamado: bancos, pymes, grandes empresas. Un ciberataque o una filtración puede paralizar operaciones y destruir la confianza en horas. La pregunta para el sector privado no es si será objetivo, la pregunta es si podrá seguir operando después de un incidente. 

Para los ciudadanos, siempre el impacto es el peor porque nuestros datos personales circulan y se venden al mejor postor. Si un portal con currículos, identificaciones y teléfonos se ve comprometido, el riesgo no termina en internet: puede traducirse en estafas, suplantación de identidad y extorsión. 

Guatemala no necesita más sustos para tomarse en serio la ciberseguridad. Necesita decisiones. Necesita presupuesto, talento humano, estándares, auditorías y un liderazgo político que entienda que la infraestructura digital también es infraestructura crítica. 

En un país que quiere digitalizarlo todo, seguir improvisando en ciberseguridad no es ingenuidad, es irresponsabilidad.