#robodeidentidad — Public Fediverse posts

Impulsan delito federal de suplantación de identidad con penas de hasta 7.5 años

La diputada Olga Lidia Herrera Natividad impulsa tipificar la suplantación de identidad como delito federal, con penas de cuatro a cinco años de prisión y agravantes de hasta 50 por ciento cuando se utilice inteligencia artificial.

Por Gabriela Díaz | Reportera                                           

La diputada federal Olga Lidia Herrera Natividad, del Partido del Trabajo (PT), impulsa una reforma al Código Penal Federal para convertir la suplantación de identidad en un delito autónomo, con penas de cuatro a cinco años de prisión y multas de hasta tres mil veces el valor diario de la Unidad de Medida y Actualización (UMA).

La propuesta busca sancionar el uso no autorizado de datos personales, biométricos, documentos, firmas electrónicas, credenciales y otros mecanismos de autenticación cuando sean utilizados para asumir la identidad de otra persona, atribuirse su representación o realizar actos jurídicos o materiales en su nombre.

El proyecto también plantea aumentar las penas hasta en una mitad cuando se utilice inteligencia artificial, sistemas automatizados o herramientas de generación sintética de voz, imagen o video, así como cuando la conducta afecte el patrimonio, derechos políticos, historial crediticio u otros derechos de la víctima. La iniciativa fue turnada a la Comisión de Justicia de la Cámara de Diputados para su análisis.

¿Qué propone castigar la iniciativa?

La propuesta plantea adicionar un Capítulo VII Bis al Título Decimotercero del Código Penal Federal para definir como suplantación de identidad el uso, obtención, reproducción, alteración, transferencia o empleo no autorizado de elementos que permitan identificar o autenticar a una persona física.

La conducta tendría que realizarse con la finalidad de asumir la identidad de la víctima, atribuirse su representación o hacerse pasar por ella para obtener un beneficio indebido para sí o para un tercero, o causar un perjuicio.

Entre los elementos contemplados se encuentran datos personales, datos biométricos, credenciales, documentos, firmas electrónicas y medios de autenticación, además de cualquier otro recurso que permita acreditar la identidad de una persona.

La iniciativa plantea una pena base de cuatro a cinco años de prisión y una multa de 800 a 3 mil veces el valor diario de la UMA.

Inteligencia artificial sería una agravante

Uno de los componentes centrales de la propuesta es incorporar el uso de nuevas tecnologías como una circunstancia que puede elevar la sanción.

Las penas aumentarían hasta en una mitad cuando la suplantación se cometa mediante inteligencia artificial, algoritmos, sistemas automatizados o herramientas capaces de generar o modificar contenido con apariencia auténtica, incluidos audios, imágenes y videos.

La agravante también aplicaría cuando la conducta produzca afectaciones al patrimonio, los derechos políticos o el historial crediticio de la víctima, o cuando la persona afectada se encuentre en condición de vulnerabilidad.

La propuesta contempla que las sanciones por suplantación se apliquen sin perjuicio de las penas correspondientes por otros delitos que puedan configurarse.

Reparación y restitución de la identidad

El proyecto no se limita a establecer penas de prisión y multas. También propone que el órgano jurisdiccional pueda ordenar la restitución de la identidad de la víctima y la cancelación de registros, cuentas, perfiles o instrumentos creados mediante la conducta ilícita.

La iniciativa contempla además la reparación integral de los daños patrimoniales y extrapatrimoniales, medidas para restablecer los derechos afectados y acciones para proteger los datos personales comprometidos.

También prevé el aseguramiento, decomiso o destrucción de dispositivos, programas, archivos o herramientas utilizados para cometer el delito, conforme a las disposiciones legales aplicables.

Suplantación de identidad ante el crecimiento digital

En la exposición de motivos, Herrera Natividad plantea que la digitalización modificó la manera en que las personas realizan operaciones, celebran actos jurídicos, acceden a servicios y ejercen sus derechos.

Bajo ese contexto, la identidad dejó de ser un elemento exclusivamente físico y adquirió una dimensión digital vinculada con la seguridad jurídica y la confianza en las operaciones realizadas mediante plataformas tecnológicas.

La legisladora sostiene que la expansión de redes sociales y herramientas de inteligencia artificial capaces de reproducir imágenes, voces, videos y otros elementos personales incrementó la complejidad de las conductas relacionadas con la apropiación de identidad.

Entre los usos ilícitos asociados con este fenómeno se encuentran fraudes financieros, apertura de cuentas, contratación de servicios, obtención de créditos y extorsiones.

Diputados ya avanzaron en la tipificación

La propuesta de Herrera Natividad forma parte de una discusión legislativa más amplia sobre la creación de un delito federal de suplantación de identidad.

El 9 de julio de 2026, la Comisión de Justicia de la Cámara de Diputados aprobó un dictamen para incorporar este delito al Código Penal Federal, con 24 votos a favor, cuatro abstenciones y ninguno en contra, de acuerdo con reportes legislativos y parlamentarios.

El dictamen aprobado contempla un Capítulo VI Bis denominado “Suplantación de identidad”, integrado por los artículos 249 Bis 1, 249 Bis 2, 249 Bis 3 y 249 Bis 4. El proceso legislativo todavía requiere continuar su trámite antes de que las disposiciones puedan entrar en vigor.

El Grupo Parlamentario del PT informó además que Olga Lidia Herrera Natividad respaldó, junto con la diputada Olga Juliana Elizondo Guerra, el dictamen aprobado por la Comisión de Justicia para tipificar y sancionar la suplantación de identidad digital.

La discusión legislativa ocurre mientras distintas propuestas buscan actualizar el marco penal frente al uso de datos personales, biométricos y tecnologías de inteligencia artificial en conductas delictivas. El Sistema de Información Legislativa registra diversas iniciativas presentadas durante 2026 con enfoques y sanciones diferentes sobre esta materia. –sn–

¡Conéctate con Sociedad Noticias! Suscríbete a nuestro canal de YouTube y activa las notificaciones, o bien, síguenos en las redes sociales: Facebook, Twitter e Instagram.

También, te invitamos a que te sumes a nuestro canal de información en tiempo real a través de Telegram.

La salud de los estadounidenses, en manos de los hackers – Millones de víctimas en una oleada de brechas de datos

El sistema de salud de Estados Unidos se ha convertido en el blanco predilecto del cibercrimen organizado. Solo en los últimos meses, ataques a QualDerm, TriZetto, OpenLoop y decenas de organizaciones más comprometieron los datos médicos y personales de millones de pacientes. La cadena de suministro de proveedores terceros es el eslabón más débil (Fuente nychealthandhospitals).

Los números no dejan lugar a dudas: el sector salud estadounidense está bajo asedio. Al cierre de 2025, casi 57 millones de personas habían sido víctimas de brechas de datos en el sistema sanitario, y al menos 642 incidentes que involucraron 500 o más individuos fueron registrados ante el Departamento de Salud y Servicios Humanos (HHS). Lejos de calmarse, la tendencia continúa en 2026 con nuevos casos de enorme magnitud.

Uno de los más recientes y graves es el de QualDerm Partners. La empresa, que brinda servicios de gestión sanitaria a 158 prácticas médicas en 17 estados, está notificando a más de 3,1 millones de personas que su información personal, médica y de seguro de salud fue robada en una brecha ocurrida en diciembre de 2025. Los atacantes tuvieron acceso a su red durante dos días, exfiltrando nombres, fechas de nacimiento, direcciones, números de historia clínica, información sobre diagnósticos y tratamientos, y en algunos casos documentos de identidad oficiales.

Febrero de 2026 marcó un pico alarmante. Ese mes se reportaron 63 brechas de datos en el sector salud, con la información protegida de más de 8 millones de personas comprometida, un incremento del 436% respecto a enero. Los dos casos que explican ese salto son TriZetto Provider Solutions y QualDerm Partners, ambos con más de 3 millones de afectados cada uno. Lo revelador del caso TriZetto es que la empresa actúa como proveedor de servicios administrativos para múltiples organizaciones de salud, lo que ilustra cómo las brechas a través de terceros están sistemáticamente subrepresentadas en los informes oficiales, ya que el impacto real se distribuye en cascada entre decenas de entidades que dependen del proveedor vulnerado.

En mayo de 2026, la plataforma de telesalud OpenLoop sumó otro capítulo a esta historia. Hackers robaron los datos personales de 716.000 individuos durante una intrusión ocurrida en enero de 2026. Los atacantes tuvieron acceso a sus sistemas entre el 7 y el 8 de enero, exfiltrando nombres, direcciones, correos electrónicos, fechas de nacimiento y datos médicos. Un actor de amenaza no identificado llegó a afirmar que el volumen real de afectados ascendía a 1,6 millones de personas.

El perfil de los ataques también evolucionó. Los expertos señalan una clara tendencia hacia la industrialización del cibercrimen contra el sector salud, con una transición de ataques oportunistas a operaciones altamente coordinadas y de múltiples etapas. Los actores de amenaza tratan a las organizaciones sanitarias como cadenas de suministro de alto valor. En 2026, los grupos de ransomware emplean tácticas de triple extorsión: exfiltran la información de salud protegida antes de cifrar los sistemas, y amenazan con publicarla para maximizar la presión sobre sus víctimas.

Las consecuencias van más allá de la privacidad. Los expertos advierten que en 2026 se verá un incremento en el robo de identidad médica impulsado por el aumento de las primas de los seguros de salud, que lleva a muchos estadounidenses a abandonar su cobertura, quedando así más expuestos a fraudes que explotan sus datos clínicos robados. Mientras el HHS acumula un backlog creciente de investigaciones y el Congreso no aprueba presupuesto adicional para el organismo regulador, los pacientes son quienes pagan el precio más alto de esta crisis silenciosa.

La señal de la victoria ya no es tan inocente: la IA puede robar tus huellas digitales de una selfie

Expertos en ciberseguridad advierten que las cámaras de alta resolución combinadas con herramientas de inteligencia artificial permiten extraer patrones biométricos de las huellas digitales directamente desde fotografías. El gesto «V» de victoria o paz, omnipresente en las redes sociales, se convirtió en el principal vector de exposición (Fuente SCMP).

Lo que durante décadas fue un gesto inofensivo —los dos dedos levantados en señal de victoria o paz— podría ser hoy una puerta de entrada silenciosa al robo de identidad biométrica. Expertos en ciberseguridad advierten que a medida que las capacidades de las cámaras de los smartphones y las tecnologías de mejora de imágenes con inteligencia artificial avanzan, una selfie publicada de manera casual puede convertirse en un canal inesperado para la filtración de datos personales.

El caso que disparó la alarma global fue una demostración televisiva en China. El experto en seguridad Li Chang demostró en un programa de televisión cómo extraer huellas digitales de la selfie de una celebridad utilizando herramientas de IA, advirtiendo que si las yemas de los dedos están expuestas directamente hacia la cámara y la foto se toma desde menos de 1,5 metros, existe una alta probabilidad de extraer la información de la huella dactilar con relativa claridad. Incluso a distancias de entre 1,5 y 3 metros, todavía podría recuperarse aproximadamente la mitad de los detalles biométricos.

La técnica no requiere equipamiento sofisticado ni acceso especial. Aunque las huellas parezcan borrosas a simple vista, el software de IA puede utilizarse para nitificar la imagen y obtener los datos biométricos ocultos en ella. No se trata de una amenaza puramente teórica: en 2025, un grupo de criminales en Hangzhou, China, intentó desbloquear la cerradura inteligente de un hogar utilizando una foto de la mano del propietario que había sido publicada previamente en internet.

Los especialistas, sin embargo, piden no entrar en pánico sin matices. Robar las huellas digitales de alguien y utilizarlas para comprometer sistemas de seguridad biométrica no es un proceso simple: las condiciones de iluminación, el enfoque de la cámara y la nitidez de la imagen son factores determinantes, y los ladrones de identidad idealmente necesitarían múltiples fotos de la misma persona para comparar y reconstruir la huella. En palabras de Lewis Berry, arquitecto principal de seguridad de Microsoft, es técnicamente posible reconstruir huellas digitales a partir de fotos, pero se trata por ahora de una amenaza bastante focalizada.

Lo que sí está claro es que la distancia entre «requiere esfuerzo» e «imposible» se achica con cada mejora en los algoritmos de mejora de imagen. Pei Zhiyong, director del Centro de Investigación de Seguridad Industrial de Qianxin, recomienda no compartir demasiadas fotos que muestren los dedos en redes sociales y evitar guardar las huellas digitales en dispositivos en los que no se confíe plenamente. El consejo más práctico de Li Chang es tan simple como revelador: difuminar las yemas de los dedos o suavizar las huellas con herramientas de edición digital antes de publicar cualquier foto en redes sociales.

En un mundo donde el pasaporte, el banco y la puerta de casa se abren con una huella, esa precaución ya no suena exagerada.

Robo de credenciales – Métodos más frecuentes y recomendaciones para reducir el riesgo

El robo de credenciales es una amenaza que ya lleva más de una década acechando al mundo. En Latinoamérica, crece de forma sostenida al ritmo de la digitalización y del aumento del fraude online, durante el último año se reportaron más de 2.6 millones de credenciales comprometidas en la región latinoamericana, según un informe de SOCRadar en 2025. ESET, advierte que el acceso a una cuenta de correo permite a los atacantes llegar a servicios bancarios, plataformas corporativas, información financiera y hasta historiales médicos (Fuente ESET Latam).

La forma en la que los cibercriminales llegan a las contraseñas de los usuarios es variada en cuanto a dificultad o conocimiento técnico necesario. ESET las divide en tres metodologías: las que abusan de técnicas de ingeniería social, las que utilizan malware y las que ocurren producto de un ataque a la organización que debiera protegerlas.

1. Técnicas de ingeniería social: Este método usa falsamente el nombre de entidades públicas o compañías reconocidas para reducir las barreras de desconfianza y aumenta la efectividad de los ataques. El más utilizado es el envío de correos electrónicos, o aplicaciones de mensajería en los que el atacante se hace pasar por una entidad legítima para engañar a la víctima y persuadirla de que entregue sus datos de acceso de forma voluntaria.

Estos mensajes tienen como característica común que apelan a la urgencia y simulan ser una notificación de algún problema que requiere acción inmediata: inconvenientes con una cuenta, un pago rechazado, problemas con una reserva, entre miles de excusas. Suelen contener un link malicioso a sitios que imitan a los legítimos para lograr el robo de los datos sensibles de las víctimas, como contraseñas y nombres de usuario.

Otra forma que toma el phishing es a través de sitios falsos que se posicionan entre los resultados de buscadores como Google como anuncios patrocinados, debido a que el atacante paga por visibilidad para suplantar páginas reales. En estos escenarios hasta personas precavidas pueden ser engañadas a hacer clic en un resultado aparentemente legítimo que replica la identidad visual de bancos, plataformas de correo, servicios en la nube o empresas de renombre.

2. Distribución de malware específico: Otra vía frecuente para el robo de contraseñas es el uso de malware que actúan una vez que el dispositivo del usuario ya fue comprometido. En estos casos, advierte ESET, no hay un engaño puntual ni un mensaje que funcione como alerta, sino que el robo ocurre en segundo plano, muchas veces sin que la víctima lo perciba.

Los infostealers, keyloggers y spyware tienen en común la recolección de información sensible de forma continua, incluyendo contraseñas almacenadas en navegadores, datos de autocompletado, credenciales de aplicaciones y sesiones activas. El impacto de estos tipos de malware, destaca ESET, no se limita a una sola cuenta, ya que el programa malicioso sigue recolectando credenciales mientras el usuario utiliza el dispositivo infectado.

Dentro de este mismo ecosistema aparecen los troyanos bancarios, que se enfocan específicamente en credenciales de accesos a cuentas bancarias y plataformas financieras. Mediante ventanas falsas capturan datos en el momento que el usuario los ingresa. Este tipo de amenaza, que no es nueva en la región, superó las 650 mil detecciones únicas durante 2025 de las cuales 110 mil correspondieron a una misma familia: Guildma.

3. Ataque a organizaciones: Otra fuente relevante de robo de credenciales son los incidentes en los que las bases de datos de una organización quedan expuestas como consecuencia de una debilidad o falla en sus sistemas. En los escenarios más críticos, las filtraciones incluyen credenciales completas, ya sea en texto plano o con mecanismos de protección débiles, lo que permite a los atacantes reutilizarlas de forma inmediata. Sin embargo, incluso cuando las contraseñas no quedan expuestas directamente, la filtración de correos electrónicos o nombres de usuario sigue siendo valiosa. Esta información se utiliza luego como base para ataques de relleno de credenciales o fuerza bruta, aprovechando la reutilización de contraseñas entre distintos servicios.

Una vez que una base de datos es comprometida, la información puede circular durante años en foros clandestinos y reutilizarse en distintos contextos y contra múltiples plataformas. De esta forma, una brecha puntual en una organización termina amplificando el riesgo para otras empresas y para los propios usuarios, incluso mucho después de que el incidente original haya sido corregido.

“También existen amenazas que usan fuerza bruta. Estas consisten en probar de manera automatizada múltiples combinaciones de usuario y contraseña hasta lograr un acceso válido, sin necesidad de engañar al usuario ni de comprometer previamente su dispositivo. Suele apoyarse en listas de contraseñas comunes o en credenciales filtradas en incidentes anteriores, aprovechando la reutilización de claves y la falta de controles adicionales de autenticación. Cuando los servicios expuestos no cuentan con mecanismos de limitación de intentos o monitoreo adecuado, este tipo de ataques sigue siendo efectivo, especialmente contra accesos remotos, aplicaciones web y servicios corporativos publicados en Internet.”, comenta Martina López, Investigadora de seguridad informática de ESET Latinoamérica.

El robo de credenciales puede producirse a través de distintos vectores. El equipo de ESET sostiene que la prevención no depende de que se tome una sola medida, sino de una combinación de prácticas:

• Usar contraseñas únicas y robustas para cada servicio, ya que el stuffing de credenciales es una práctica común entre los ciberatacantes con credenciales que son comercializadas.
• Habilitar la autenticación multifactor cuando sea posible, ya que este mecanismo se complementa con las contraseñas que utilizamos.
• Desconfiar de mensajes inesperados y evitar descargar archivos o ingresar a enlaces sospechosos, ya que el malware y el phishing siguen siendo las formas más comunes de robo de credenciales.
• Almacenar las contraseñas en gestores, y evitar guardarlas en texto plano o en dispositivos compartidos.
• Mantener sistemas y aplicaciones actualizadas para enmendar posibles vulnerabilidades que tengan.
• Revisar accesos y actividad inusual en las cuentas, ya sea manteniendo activadas las alertas de inicio de sesión o buscando dentro de las secciones de privacidad o accesos de las aplicaciones.

En caso de que la contraseña ya haya sido robada, desde ESET destacan que el tiempo de reacción marca la diferencia entre un incidente aislado o un problema mayor. Por eso, recomiendan:

• Cambiar las contraseñas afectadas y todas aquellas donde se haya usado la misma credencial.
• Cerrar las sesiones activas de la cuenta afectada y desautorizar accesos recientes, en servicios y aplicaciones donde exista la posibilidad.
• Verificar cambios no autorizados en las cuentas, y monitorear para el futuro: Mensajes, configuraciones, pagos, entre otros.
• Usar una herramienta de seguridad en los dispositivos potencialmente afectados, para eliminar códigos maliciosos si los hubiere.

“Si bien el robo de contraseñas no es una problemática nueva, sí es una que sigue creciendo y adaptándose a las nuevas tecnologías, junto a nuestra vida digital cada vez más compleja. En estas líneas, la educación digital y las buenas prácticas se vuelven necesarias para proteger nuestra identidad, información y dispositivos a nivel individual y corporativo. Mantenerse informado es vital para adelantarnos a las últimas tendencias de seguridad informática.”, concluye López de ESET.