the_lightwriter - stock.adobe.co
Diri Leaks, crónica de una filtración escandalosa
Esta semana, el Perú fue testigo de una nueva filtración de datos de alta sensibilidad. En esta ocasión no se buscó una recompensa económica, sino mostrar lo endeble que era la protección de datos de la Dirección de Inteligencia (Dirin) de la Policía Nacional del Perú (PNP). Se extrajeron desde datos personales de agentes encubiertos, hasta planes de seguridad para la presidenta Dina Boluarte.
No todo es dinero en el universo de los hackers. Septiembre llegó con un nuevo escándalo de filtración de información altamente sensible en el Perú. Apenas habían pasado unas semanas desde que se publicara –para recibir comentarios– la propuesta de Estrategia Nacional de Ciberseguridad para el periodo 2026-2028, cuando la Dirección de Inteligencia (Dirin) de la Policía Nacional del Perú (PNP) fue víctima de una fuga de información que evidenció lo frágil que son sus sistemas de protección. Los autores del incidente no pidieron rescate alguno, solo querían mostrar la vulnerabilidad existente.
La pesadilla para la PNP arrancó el jueves 4 de septiembre en la noche, cuando el personal de la División de Seguridad Digital de la Dirin alertó sobre una posible vulneración de los servidores gestionados por esa dirección. Luego, vieron que, en la aplicación de mensajería instantánea Telegram, el grupo denominado “DefacePeru Chat” había publicado información sensible de la institución. Según informaron a la prensa al día siguiente, de inmediato activaron su plan de contingencia e iniciaron las investigaciones respectivas.
La opinión pública se enteró del suceso a primera hora del viernes 5 de septiembre, cuando el programa en línea “La Encerrona” informó que el grupo de hackers "Deface Perú" se atribuyó la responsabilidad del ataque cibernético y publicó más de 4 GB de información altamente sensible. Los archivos clasificados de la Dirección de Inteligencia de la Policía Nacional (Dirin) revelaban planes de contrainteligencia, reglaje o seguimiento a periodistas y estrategias de protección para altos funcionarios públicos, incluida la presidenta Dina Boluarte. El caso fue bautizado como los “Diri Leaks”.
En las horas siguientes, con asombro, los peruanos fueron leyendo reportes de secretos de Estado difundidos en diversos medios de comunicación. De inmediato, los comentaristas alertaron sobre la gravedad del hecho, por tratarse de información de seguridad nacional que ponía en riesgo las operaciones y vidas de efectivos policiales y autoridades. No solo había datos personales de ministros, sino de aproximadamente 1.500 agentes de la PNP, incluyendo fotos que permiten identificar a efectivos que actúan encubiertos para combatir narcotráfico, terrorismo, minería ilegal y crimen organizado.
A nivel de la libertad de expresión, los periodistas reclamaron que esta no se respetaba al darse un presunto reglaje y seguimiento a su labor, además de lo que se hace contra fiscales y jueces que pueden actuar como fuentes de información. Los congresistas, por su parte, reclamaron porque ahora las organizaciones criminales podían identificar a los agentes encubiertos de inteligencia y podrían ejecutarlos.
Versiones contradictorias
En la tarde del viernes, la PNP emitió un comunicado aceptando el problema: confirmó la vulneración de sus servidores y activó un plan de contingencia, suspendiendo los servicios afectados. Afirmaron que estaban investigando qué paso. Sin embargo, en la noche salió el comandante general de la PNP, Víctor Zanabria, y descartó que haya ocurrido un hackeo externo a las bases de datos. Dijo que hubo una "filtración" interna: un usuario con acceso extrajo la información. Y esta no era reservada, aseguró.
A la mañana siguiente, en “La Encerrona”, le respondieron, citando a los hackers activistas autores del hecho: habían extraído más de 300 GB de información "reservada", y solo habían difundido alrededor del 1 % (33 GB) para demostrar lo vulnerable que era el sistema de protección de ciberseguridad del Estado y lo expuestos que estaban los datos personales de los agentes. La falta de protocolos adecuados para proteger la información confidencial fue denunciada, entonces, por la mayoría de los expertos consultados en la prensa local.
Como era de esperar, los ministros del Interior, Carlos Malaver, y de Defensa, Walter Astudillo, fueron citados ante el Congreso de la República para responder por el caso. Se advirtió que, si las explicaciones ofrecidas no convencían a la mayoría del Pleno, se podría presentar una moción de censura. La interpelación a Malaver ha sido programada para el 11 de septiembre. Mientras tanto, Malaver aseguró a la prensa que se está investigando el tema, se sancionará a los responsables –no descartó que estén en altos cargos– y se están preparando para afrontar los ciberataques y la ciberdelincuencia.
¿Una fuga interna?
La filtración del conjunto de documentos que revelan presuntas actividades de inteligencia, gastos operativos y datos personales ha generado una gran preocupación entre políticos y expertos en ciberseguridad, tanto en redes sociales, como en medios de comunicación masiva. Ya sea que se trate de una filtración interna –alguien que dejó la puerta abierta– o de un ataque desde fuera que rompió las barreras de protección, la magnitud de la filtración excede el simple acceso no autorizado a los servidores.
En el programa televisivo dominical “Punto Final” se entrevistó al hacker ‘Gatito FBI’, quien se había ufanado en redes de tener 88 GB de denuncias e información personal de los policías. Explicó que obtuvo acceso simplemente adquiriendo credenciales legítimas –usuario y contraseña–en un grupo cerrado de Telegram. Una vez dentro del sistema, usó conocimientos de programación para extraer y recopilar toda la información, que posteriormente almacenó en una base de datos. Afirmó que esto prueba el alto nivel de inseguridad digital en instituciones estatales peruanas.
Erick Iriarte, abogado experto en ciberseguridad, consideró que la PNP debería detallar en su presentación cuál es el nivel de seguridad cibernética que tienen, y si están alineados a las políticas ISO 27001 para evitar estos incidentes. Es evidente que les falta trabajar en una cultura de ciberseguridad en todo el personal para evitar ser víctimas de este tipo de incidentes, además de realizar un ejercicio constante de control y supervisión, advirtió.
El grupo de hackers peruano ya había atacado previamente a entidades locales y extranjeras, y en esta oportunidad afirmaron que su objetivo era demostrar lo mal protegidos que están en la PNP. Los accesos se pueden comprar fácilmente en diversos foros, donde a veces son los mismos miembros de la institución quienes los venden. ‘GatitoFBINZ’ dijo que la ciberseguridad peruana es “precaria”, y que las reformas implementadas en los últimos años no han cerrado las brechas. La opinión pública de los peruanos, expresada en múltiples publicaciones difundidas en redes sociales, coincide con esta afirmación.
Pero la historia no ha terminado. El hacker que aseguró al diario “La República” que filtró los datos de inteligencia de PNP, InkaRoot, aseguró el martes 9 de septiembre que tiene en la mira a Dina Boluarte y “más objetivos corruptos". Según remarcó, esto “fue solo el comienzo”, y prometió revelar “las conexiones de poder y corrupción que aún se esconden en el Estado”.
