ANTEL presentó denuncia penal por ataque informático a plataforma TUID

La empresa estatal de telecomunicaciones Antel reconoció que su plataforma de identidad digital TuID experimentó una falla de seguridad en el mes de marzo. Dicha vulnerabilidad informática derivó en una filtración de información que fue difundida públicamente el pasado jueves por el grupo conocido como LaPampaLeaks. La compañía indicó que el incidente ya fue resuelto.

Fuentes de Antel declararon a LARED21 que el ataque no comprometió información considerada crítica, en particular las credenciales de acceso de los ciudadanos, es decir, los nombres de usuario y las contraseñas. Los voceros de la empresa señalaron que “el ataque ya fue subsanado” y que no hubo afectación en ese tipo de datos sensibles. La aclaración de la empresa llegó después de que el actor LaPampaLeaks publicara un mensaje en un foro del ámbito cibercriminal.

La revelación de LaPampaLeaks

El miércoles previo a la confirmación de Antel, LaPampaLeaks difundió una muestra de datos personales correspondientes a figuras políticas, funcionarios públicos y periodistas. Junto con esa muestra, el grupo reivindicó el robo de 8 GB de archivos internos pertenecientes a la empresa estatal. La publicación incluía una descripción del material sustraído.

Entre la información de las personas involucradas que aparece en la muestra filtrada se encuentran los siguientes campos: nombre y apellidos, fecha de nacimiento, correo electrónico, cédula de identidad, número de teléfono y una fecha de actualización. Este último dato indica el momento más reciente en que cada registro fue modificado o validado dentro del sistema de TuID.

Detalles del ataque según la versión del atacante

El responsable de la filtración afirmó en su posteo haber mantenido acceso durante varios meses a una API y a una clave privada. De acuerdo con su relato, ese nivel de acceso le habría permitido no solo consultar los datos de los usuarios, sino también modificar configuraciones de las cuentas dentro de la plataforma. El mensaje no especifica el período exacto del acceso indebido.

El mismo comunicado detalla que los 8 GB de archivos internos extraídos incluirían diversos tipos de documentos. Entre ellos se mencionan propuestas, documentos legales, materiales sobre infraestructura tecnológica, documentación de backend y frontend, e información vinculada a la portabilidad numérica. No se ha precisado cuál de esos contenidos ha sido verificado de forma independiente.

Antecedentes del grupo LaPampaLeaks

LaPampaLeaks no es un actor desconocido en el país. El grupo había publicado previamente filtraciones relacionadas con sistemas de varios organismos públicos. Entre las instituciones afectadas en ocasiones anteriores figuran la DNIC, Sucive, ANEP, UTU, Ceibal y Dinacia. En aquellos casos, los datos expuestos incluyeron nombres, cédulas de identidad, direcciones, números de teléfono, matrículas de vehículos, historiales vinculados a automotores y datos académicos.

Estos antecedentes sitúan la filtración de TuID dentro de una serie de incidentes similares que han afectado a sistemas con bases de datos de ciudadanos. No se ha informado de acciones legales previas contra los responsables de esas filtraciones.

Qué es la plataforma TuID

TuID (denominada también como Tu Identidad Digital) es el sistema de identidad digital de Uruguay, gestionado por Antel (Administración Nacional de Telecomunicaciones). Se trata de una plataforma oficial que permite a las personas identificarse de forma remota y segura para realizar trámites y acceder a servicios en línea, tanto del sector estatal como del privado.

La herramienta sirve como un “documento de identidad digital” para ingresar a portales gubernamentales como gub.uy, DGI, BPS y otros. Ofrece mecanismos de autenticación fuerte que incluyen doble factor y verificación biométrica. Además, posibilita la firma electrónica avanzada con validez legal, equivalente a una firma manuscrita certificada. Los usuarios pueden firmar documentos PDF y completar trámites directamente desde la web o la aplicación móvil.

 La plataforma incluye una función de confirmación de transacciones out-of-band. También permite a los ciudadanos acceder a múltiples servicios sin necesidad de recordar contraseñas distintas para cada uno. En esencia, TuID opera como una contraseña universal segura para numerosos trámites en Uruguay.

El registro inicial en TuID se puede realizar de forma online mediante un autoregistro, que luego requiere una validación presencial en sucursales de Antel o en puntos autorizados. Existen opciones habilitadas también para extranjeros. La aplicación móvil denominada TuID móvil está disponible en Google Play y en la App Store, y constituye el componente principal del sistema. Desde esa app, el usuario puede autenticarse con biometría, ya sea huella digital o reconocimiento facial de manera rápida.

El sistema contempla distintos niveles de seguridad que el usuario puede fortalecer agregando más factores, como los biométricos, para acceder a trámites que requieren un mayor grado de certeza sobre la identidad.

TuID es uno de los principales métodos de identificación digital en Uruguay, junto con otras soluciones como la de Abitab. Fue lanzado alrededor del año 2019 por Antel. Su uso se ha extendido ampliamente en servicios públicos como DGI, BPS y el sistema de salud, además de estar cada vez más presente en servicios privados. El sitio oficial de la plataforma es www.tuid.uy.

La herramienta ha sido promovida como la “cédula digital” de Antel que permite a los ciudadanos realizar casi todos sus trámites en línea de forma segura y con validez legal, reduciendo la necesidad de presentarse físicamente en oficinas.