El Servicio de Administración Tributaria (SAT) y el Instituto Nacional Electoral (INE) rechazaron, por separado, que sus sistemas hayan sido hackeados, como reveló Gambit Security, una empresa de ciberresiliencia nativa en inteligencia artificial (AI por sus siglas en inglés).
La startup israeli afirmó a través de su cuenta de LinkedIn que Claude, el chatbot impulsado por AI de Anthropic, “fue explotado para robar datos confidenciales mexicanos: 150 GB de información privada de impuestos y votantes, 195 millones de registros de contribuyentes robados”.
Gambit Security compartió su investigación al sitio informativo Bloomberg, en donde detalló que, además del SAT y el INE, también fueron vulnerados los Gobiernos estatales de Jalisco, Michoacán y Tamaulipas, así como el Registro Civil de la Ciudad de México y Servicios de Agua y Drenaje de Monterrey.
Es la tercera vez que el SAT aparece en reportes de expertos en ciberseguridad de incidentes a instituciones públicas mexicanas en los últimos meses. Aunque no está claro si se trata de acciones distintas o de la misma. Gambit Security afirma que el ataque comenzó en diciembre pasado.
Ese mes, la dependencia rechazó que su app Factura Móvil haya sido vulnerada y a finales de enero de 2026 la Agencia de Transformación Digital y Telecomunicaciones (ATDT) descartó la publicación de datos sensibles ante la revelación de una filtración masiva, en la que se le mencionaba.
El SAT indicó el miércoles que ante cualquier publicación que indique un supuesto incidente informático, despliega los protocolos correspondientes de monitoreo y, de ser el caso, de contención y mitigación de amenazas de ciberdelincuencia para salvaguardar la información de las y los contribuyentes.
INE rechaza el incidente; afirma que no hay evidencia
Por su parte, el INE aseguró el jueves en un comunicado que “no se han identificado brechas de seguridad, accesos no autorizados ni exfiltración de información en los periodos referidos por los reportes difundidos en medios”.
Indicó que tanto su Unidad Técnica de Servicios de Informática (UTSI) como la Dirección Ejecutiva del Registro Federal de Electores (DERFE), por conducto de sus áreas técnicas, efectuaron validaciones.
Esta última también confirmó que “no existen incidentes de seguridad corroborados que permitan validar la narrativa de una exfiltración masiva de datos atribuible a los supuestos ataques señalados”.
El INE agregó que la información publicada se basa en declaraciones “sin que hasta el momento haya evidencia técnica pública verificable —como indicadores de compromiso, análisis forense o pronunciamientos oficiales de autoridades competentes— que confirme un ataque”.
