Grupo de hackers habría robado 12GB de datos a subsidiaria de Antel

El 12 de mayo de 2026, la empresa estatal de telecomunicaciones de Uruguay, Antel, se enfrentó a una filtración masiva de datos que afecta directamente la seguridad de su propia infraestructura y la de sus clientes más sensibles.

El grupo cibercriminal DeadPresidents (antes ExPresidents) puso a la venta en la dark web 12 GB de datos extraídos de HG S.A., una subsidiaria propiedad de Antel. Este incidente cobra especial relevancia porque las credenciales robadas comprometen sistemas internos y el código fuente de plataformas clave para el Estado, como se detalla a continuación.

🔑 Detalles técnicos de la filtración y su vector de ataque

La investigación de la firma especializada BCA LTD reveló que el ataque no fue un hackeo directo, sino una sofisticada intrusión en la cadena de suministro tecnológico. Un «Initial Access Broker» (IAB)——un cibercriminal que vulnera sistemas para revender el acceso——ganó entrada a los servidores de HG S.A. y luego vendió esa puerta trasera al grupo DeadPresidents. Una vez dentro, los atacantes extrajeron:

• Credenciales de acceso: Usuarios y contraseñas de sistemas internos de HG, que permiten un acceso directo a sus infraestructuras.

• Código fuente: El de aplicaciones internas de HG y de sus clientes, incluyendo la plataforma TicketAntel (usada por millones de uruguayos para eventos y espectáculos) y sistemas críticos de ANCAP (la estatal de energía y combustibles).

• Documentación técnica y datos de la nube: Archivos con la arquitectura de los sistemas, información de programadores y hasta datos almacenados en servicios externos de nube.

La importancia de este último punto no es menor. Contar con los «planos» de la infraestructura tecnológica de ANCAP——un cliente de HG——significa que los delincuentes obtuvieron un mapa detallado para planificar futuros ataques.

⚖️ Vulneración explícita del Decreto 66/025

El incidente impacta de lleno en el marco regulatorio uruguayo. La abogada especializada en derecho informático, Agustina Pérez Comenale, explicó a El Observador que este tipo de eventos viola las disposiciones del Decreto 66/025, una normativa vigente desde marzo de 2025 que exige a los organismos públicos y entes vinculados a sectores críticos adoptar medidas efectivas de ciberseguridad.

Este decreto, disponible en el portal IMPO, obliga a proteger los “activos de información” y a prevenir “accesos no autorizados” para garantizar la continuidad de los sistemas esenciales del país. Permitir que las llaves y los planos de la infraestructura energética queden expuestos en la dark web es una falla grave en el cumplimiento de esta ley.

¿Quién es DeadPresidents y por qué es una amenaza persistente?

DeadPresidents (antes conocido como ExPresidents) no es un grupo novato. Su historial demuestra un patrón claro de ataque a instituciones de alto valor:

• Udelar: En un ataque anterior, filtaron datos de más de 500 docentes (nombres, correos y referencias académicas).

• Organismos del Estado: También se adjudicaron accesos y documentación de la Dirección General Impositiva (DGI), la Administración Nacional de Educación Pública (ANEP) y el Partido Nacional.

Este patrón indica que su modus operandi no es el vandalismo digital, sino la recolección sistemática de información para futuros ataques o su venta a terceros. El hecho de que hayan pasado de llamarse «ExPresidents» a «DeadPresidents» sugiere una evolución en su agresividad y profesionalización.

El riesgo a futuro: de herramientas robadas a un «phishing» perfecto

La información filtrada es un arsenal para el cibercrimen. Los datos concretos que ahora están en la dark web permitirán:

1. Ataques dirigidos a ANCAP y Antel: Los atacantes (o los compradores de los datos) poseen credenciales y códigos para moverse lateralmente por las redes internas de estas empresas, llevando a cabo ataques mucho más precisos y difíciles de detectar.

2. Campañas de phishing hiper-personalizado: Con documentación interna y nombres de empleados, pueden crear correos electrónicos y sitios web falsos que son casi indistinguibles de los oficiales. Un empleado de HG podría recibir un mensaje que parece legítimo y, sin saberlo, entregar sus claves finales o instalar un malware.

3. Compromiso de la cadena de suministro: El código fuente de los clientes de HG es vulnerable. Si un desarrollador malicioso modifica ese código (por ejemplo, insertando una puerta trasera en TicketAntel), todas las aplicaciones que dependen de él estarían en riesgo.

Medidas inmediatas y qué hacer si eres usuario

Si eres cliente de Antel o usuario de TicketAntel, la probabilidad de que tus datos bancarios hayan sido expuestos directamente es baja, según los primeros reportes. Sin embargo, sí estás en riesgo de sufrir ataques de phishing o que tu información de inicio de sesión en otras plataformas sea vulnerada si reutilizas contraseñas.

Recomendaciones concretas:

• Actualiza tus credenciales: Cambia las contraseñas de todos los servicios relacionados con Antel, especialmente en plataformas de gobierno digital y TicketAntel.

• Activa la autenticación de dos factores (2FA): Es la medida más efectiva para proteger tus cuentas, incluso si tu contraseña es robada.

• Monitorea tus estados de cuenta: Estate atento a movimientos inusuales o cargos no reconocidos en los próximos meses.

Para las empresas y organismos públicos, la prioridad debe ser asumir que el código fuente y las credenciales de sus proveedores (como HG) están comprometidos. Es urgente:

• Rotar todas las credenciales vinculadas a HG.

• Revisar los logs de acceso a sus propios sistemas en busca de actividad inusual.

• Realizar una auditoría forense independiente para evaluar el alcance real del daño.