Ruiz-Healy Times: Mythos y la indefensión digital de México

Aprin­ci­pios de este mes, la com­pa­ñía de inte­li­gen­cia arti­fi­cial Ant­h­ro­pic anun­ció que creó algo tan pode­roso que deci­dió no ponerlo a la venta. Su nuevo modelo, Claude Myt­hos, es capaz de hallar y abrir, en cues­tión de horas, las puer­tas tra­se­ras ocul­tas en cual­quier sis­tema infor­má­tico: ban­cos, hos­pi­ta­les, redes eléc­tri­cas, gobier­nos… Los mejo­res hac­kers del mundo tar­dan sema­nas en lograrlo; Myt­hos lo hace solo, en unas horas y sin que nadie se lo pida.

La res­puesta no tardó en lle­gar. El secre­ta­rio del Tesoro de Esta­dos Uni­dos, Scott Bes­sent, y el pre­si­dente de la Reserva Fede­ral, Jerome Powell, con­vo­ca­ron una reu­nión urgente con los eje­cu­ti­vos de los gran­des ban­cos de Nueva York. El Banco Cen­tral Euro­peo tomó nota; lo mismo hicie­ron las auto­ri­da­des cana­dien­ses. Hasta ayer el gobierno mexi­cano no había dicho nada sobre el tema.

El Ins­ti­tuto de Segu­ri­dad de IA del Reino Unido cer­ti­ficó que Myt­hos logra un 73% de éxito en prue­bas de hac­keo por exper­tos. Por ejem­plo, encon­tró una falla de segu­ri­dad en OpenBSD, sis­tema con­ce­bido para pro­te­ger ser­vi­do­res ban­ca­rios, guber­na­men­ta­les y mili­ta­res, con­si­de­rado una for­ta­leza digi­tal inex­pug­na­ble durante déca­das. La falla exis­tía desde hacía 27 años y nadie la vio.

Ant­h­ro­pic no puso a Myt­hos a dis­po­si­ción del público, sino que lo otorgó a 40 empre­sas —entre ellas Micro­soft, Goo­gle, Apple y Ama­zon— para uso defen­sivo. Nin­guna ins­ti­tu­ción mexi­cana lo reci­bió, lo que las hace vul­ne­ra­bles a ata­ques de gru­pos delic­ti­vos que ya lle­van varios años mos­trando una adap­ta­ción tec­no­ló­gica que muchos subes­ti­man. Emplean dro­nes, comu­ni­ca­cio­nes cifra­das y redes de lavado digi­tal y cuen­tan con acceso a mer­ca­dos negros donde se comer­cia­li­zan herra­mien­tas como Myt­hos. Tie­nen tam­bién algo que pocas orga­ni­za­cio­nes legí­ti­mas poseen: dinero ili­mi­tado y nin­gún escrú­pulo para gas­tarlo.

Lo preo­cu­pante no es sólo hac­kear ban­cos, sino entrar al SAT para iden­ti­fi­car dela­to­res, al INE para ubi­car a per­so­nas pro­te­gi­das, para­li­zar un gobierno esta­tal en plena nego­cia­ción o secues­trar expe­dien­tes del IMSS en toda una ciu­dad. El cri­men orga­ni­zado ya lo hace con herra­mien­tas mucho más rudi­men­ta­rias.

En 2022, la Defensa fue hac­keada por medio de un ser­vi­dor anti­cuado: seis teraby­tes fil­tra­dos con tec­no­lo­gía pri­mi­tiva. Desde enton­ces, el SAT, el INE y varios gobier­nos loca­les han sido víc­ti­mas de cibe­ra­ta­ques. La causa siem­pre es la misma: sis­te­mas vie­jos, mal con­fi­gu­ra­dos, lle­nos de agu­je­ros que nadie ha tapado. Eso es lo que apro­ve­cha Myt­hos.

Las con­se­cuen­cias eco­nó­mi­cas son rea­les. For­ti­net, empresa esta­dou­ni­dense espe­cia­li­zada en segu­ri­dad infor­má­tica, reportó que en los pri­me­ros seis meses de 2025 se regis­tra­ron 40,600 millo­nes de cibe­ra­ta­ques en México. Un hac­keo masivo con Myt­hos o algo simi­lar le diría al mundo que México no es un socio de con­fianza.

Para com­pli­car el asunto, fal­tan recur­sos: en 2026 la Agen­cia de Trans­for­ma­ción Digi­tal y Tele­co­mu­ni­ca­cio­nes (ATDT) reci­birá 3,852 millo­nes de pesos, mien­tras la agen­cia equi­va­lente de EEUU des­tina, solo a ciber­se­gu­ri­dad, 3,000 millo­nes de dóla­res.

Para ata­car la infraes­truc­tura crí­tica ya no se requiere ser una poten­cia mun­dial, solo se nece­si­tan dinero y ganas de per­ju­di­car. En México hay muchos que tie­nen ambos.