Filtración de datos pone en alerta a costarricenses por posibles fraudes

La reciente filtración de datos personales de costarricenses podría provocar un aumento de fraudes en los próximos meses.

Así lo advirtió Esteban Jiménez, experto en ciberseguridad, luego de que el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) confirmara que parte de la información divulgada por un actor de amenaza es real.

Lo anterior se da luego de que el pasado 12 de setiembre la Dirección Nacional de Ciberseguridad del Micitt detectara una publicación en la Dark Web (red oscura) en la que el “hacker” afirma haber obtenido una base de datos con información de personas costarricenses.

Según lo publicado, la base contiene más de 400 millones de líneas relacionadas con salarios, direcciones, teléfonos, correos electrónicos y fotografías, entre otros datos.

“Esto no demuestra la autenticidad de la base de datos completa. En estos momentos estamos validando el origen y el verdadero alcance de esta brecha”, dijo Gezer Molina, director de ciberseguridad del Micitt.

Advierte aumento de fraudes

Ante este escenario, Jiménez explicó que la información expuesta podría permitir relacionar diferentes datos de una misma persona, como su identificación, dirección, ingresos y actividad crediticia.

El especialista advirtió que este tipo de información podría terminar en manos de terceros y utilizarse para realizar engaños más dirigidos contra las víctimas.

“Se utilizará en muy corto plazo para incrementar la cantidad de fraudes que vamos a observar de aquí hacia el fin de año, sin duda, porque el actor que la tiene en su poder estaría ofreciendo la base de datos completa por un pago x”, advirtió.

Según dijo a este medio, uno de los primeros pasos debe ser determinar cuáles personas aparecen entre los datos comprometidos y comunicarles directamente la situación.

Cuestiona falta de ley de ciberseguridad

El experto también cuestionó que Costa Rica todavía no cuente con una ley de ciberseguridad y señaló que el país requiere fortalecer el marco legal para responder a incidentes de este tipo.

El Centro de Respuesta de Incidentes de Seguridad Informática (CSIRT-CR), adscrito al Micitt, funciona actualmente bajo un decreto, por lo que considera necesario dotarlo de respaldo legal para fortalecer sus capacidades, recursos y estabilidad.

Lo anterior podría darse por el proyecto de ley 24.939, que fue presentado desde abril de 2025 por la exdiputada del Partido Liberación Nacional (PLN), Kattia Rivera, el cual está denominado como “Ley Marco para la Protección de las Infraestructuras Críticas y la Ciberseguridad”.

“Tenemos que tener una postura de seguridad mucho más robusta y, en mi opinión, empecemos por aprobar la ley de ciberseguridad que está varada en el Congreso. Todo esto afecta al país y afecta a las inversiones que otras personas vienen a hacer a Costa Rica”, dijo Jiménez.

Piden extremar precauciones

Por su parte, Mauricio Garro, experto en privacidad de datos y derechos digitales, señaló que, mientras las autoridades concluyen la investigación, la población debe reforzar las medidas de seguridad al utilizar servicios y plataformas digitales.

El especialista coincidió en que la exposición de información personal puede facilitar diferentes actividades ilícitas, entre ellas fraudes, estafas y extorsiones, así como ataques de ingeniería social como phishing, smishing y vishing.

“Se recomienda extrema cautela siempre ante el uso de los mecanismos de la sociedad de la información, de los mecanismos digitales, para proteger precisamente el derecho fundamental a nuestros datos personales”, concluyó Garro.

Recomendaciones del experto

Esteban Jiménez, experto en ciberseguridad, ante una posible exposición de datos personales, recomendó:

• Activar mecanismos de seguridad adicionales, como los tokens
• Establecer límites para las transferencias bancarias
• Habilitar notificaciones de movimientos de crédito y débito
• Revisar periódicamente las cuentas y el reporte crediticio
• Verificar que no existan registros o movimientos desconocidos
• Solicitar información a las entidades financieras sobre posibles afectaciones
• Acudir a la Prodhab si considera que sus datos fueron comprometidos
• Presentar una denuncia ante el OIJ si identifica una afectación de su información
• Buscar asesoría legal en caso de confirmar que sus datos fueron expuestos

Esteban Jiménez
Experto en ciberseguridad

“Esto no se detiene. Estamos viendo instituciones costarricenses que están siendo blanco de ciberespionaje y organizaciones privadas y de industria siendo blanco de ataques de cibercriminales”.

Mauricio Garro
Experto en privacidad de datos y derechos digitales

“Debe recordarse que el dato personal está protegido por nuestra legislación a través de la Ley 8968 de Protección de la Persona frente al tratamiento de sus datos personales y que el uso de estos de manera ilegítima puede implicar sanciones administrativas y patrimoniales”.

Gezer Molina
Director de ciberseguridad del Micitt

“Mantenemos coordinación con el Ministerio Público, el Organismo de Investigación Judicial, la Agencia de Protección de Datos y la Dirección de Inteligencia y Seguridad. Asimismo, estamos en contacto con autoridades de República Dominicana, donde este actor ha sido relacionado con otro incidente”.