Científicos en EE UU acceden a datos sensibles sin encriptar del Gobierno mexicano con apenas una antena parabólica y una tarjeta de televisión

Desde una azotea de un edificio universitario en San Diego (Estados Unidos) y con equipos de fácil acceso para un consumidor, como son una antena parabólica, un motor de posicionamiento y una tarjeta sintonizadora de televisión para capturar datos sin procesar. Con eso bastó para que un equipo de investigadores de la Universidad de California y la Universidad de Maryland accediera a información sin encriptar de satélites en México, del Gobierno y la Guardia Nacional, de la Comisión Federal de Electricidad (CFE) y de empresas como Telmex y el Banco Santander. Los académicos accedieron a llamadas de miles de usuarios, información sensible de inteligencia e inventarios de unidades militares sin cifrar. Todo para probar un punto: lo fácil que es vulnerar los sistemas satelitales gubernamentales y de empresas privadas en el país. Es la principal conclusión del reciente ensayo académico Don’t Look Up: There Are Sensitive Internal Links in the Clear on GEO Satellites.

Los autores de la investigación indican que una “cantidad alarmantemente grande” de tráfico sensible se transmite sin cifrar, incluyendo infraestructura crítica, comunicaciones internas corporativas y gubernamentales, llamadas de voz y mensajes de particulares, así como tráfico de internet de consumo procedente de redes wifi y móviles en vuelos comerciales.

En el caso del Gobierno y Fuerzas Armadas de México, los científicos observaron tráfico satelital no cifrado de varias organizaciones de la Administración, incluyendo agencias militares, policiales y gubernamentales. El documento asegura que lograron captar referencias a terminales, regiones y zonas militares, así como un inventario de activos de las fuerzas del orden, registro de personal y monitoreo de tráfico. También obtuvieron la transmisión de informes de incidentes, seguimiento de casos y documentación de pruebas por parte del personal de campo y administrativo, incluyendo actividades relacionadas con el narcotráfico. De igual manera, afirman haber encontrado datos sobre la medición y transmisión remota de objetos militares en tiempo real con geolocalización precisa, identificadores y telemetría en vivo.

El documento señala que se informó al Centro Nacional de Respuesta a Incidentes Cibernéticos (CERT-MX) sobre las vulnerabilidades que afectaron al Gobierno mexicano, Telmex, Grupo Santander de México, Banjército y Banorte el 4 de abril de 2025.

El trabajo de los investigadores determinó que la CFE, con alrededor de 46 millones de clientes en México, transmitía sus órdenes internas sin cifrar. Esta información incluía identificadores para el suministro de la red eléctrica a zonas militares y edificios gubernamentales, hasta datos sobre mantenimiento para fallos de infraestructura y estado de los activos, tales como fallos mecánicos y riesgos de seguridad.

Los hallazgos de la investigación serán presentados este 16 de octubre en una conferencia en Tai Pei, Taiwan, organizada por la Asociación de Maquinaria Informática (CCS, por sus siglas en inglés), la sociedad informática científica y educativa más grande del mundo, fundada en 1947.

Los responsables de esta investigación señalan que bastó apuntar la antena y comenzar a descifrar los datos que los satélites no encriptados proveían. Fue un trabajo de tres años y requirió apenas una inversión de 650 dólares en equipos que son de acceso a cualquiera.

Para esta investigación, el equipo de científicos se centró en los satélites geoestacionarios (GEO) que orbitan la Tierra alrededor del ecuador a una altitud y posición fijas respecto a la Tierra. Estos, según explica el documento, se distinguen por su posición longitudinal fija. “En su mayoría, los satélites GEO actúan como repetidores básicos: reciben señales desde tierra, las amplifican y las repiten para transmitirlas a un área de cobertura más amplia”, detalla la publicación.

Las comunicaciones de satélites geoestacionarios se realizaron en la pequeña franja espacial visible desde la posición estratégica de la terraza en el barrio costero de La Jolla, en San Diego, al sur de California. Desde esta posición, explican, alcanzaron a observar 411 transpondedores (dispositivo que recibe una señal y emite otra en respuesta) en 39 satélites GEO.

Los científicos explican que no se hackeó ni interfirió ningún satélite. “Nuestro estudio fue completamente pasivo. Simplemente, instalamos una antena parabólica de consumo en la Tierra y observamos el tráfico sin transmitir [...] Almacenamos los datos en un equipo protegido. Ciframos por separado los archivos de datos que contienen comunicaciones sin cifrar y eliminamos datos confidenciales a petición de los proveedores”, detallan.

Telmex y AT&T

En el caso de las dos empresas de telefonía, el estudio descubrió que AT&T en México transmitía datos sin cifrar y que se podía recibir en gran parte de Norteamérica. El documento detalla que, en una grabación de 30 minutos, les permitió observar el tráfico de control e internet de los números de teléfono de 710 usuarios. En el caso de Telmex, se evidenció que también transmitía las llamadas de sus usuarios sin cifrar.

“Este tráfico incluía llamadas no cifradas, SMS [mensajes de texto], tráfico de Internet de usuarios finales, identificaciones de hardware [equipos] y claves de cifrado de comunicaciones celulares. Cuando descubrimos inesperadamente comunicaciones de voz y SMS sin cifrar en nuestros datos, interrumpimos la recopilación. Ciframos los datos relevantes y volvimos a consultar con nuestros abogados, quienes facilitaron la divulgación a los proveedores afectados”, explican en el documento.

Walmart y Santander

La investigación de los científicos estadounidenses permitió identificar tres transmisiones satelitales de la empresa multinacional Walmart, con tiendas de descuento y grandes almacenes en México, de las cuales se obtuvo acceso a su sistema de gestión de inventario y correos corporativos internos sin cifrar.

En el caso de instituciones financieras en el país, como Santander, su tráfico de datos no cifrados reveló que el banco global, con sede en España, depende de satélites para la conectividad de sucursales remotas, cajeros automáticos e infraestructura interna. La información de entidades financieras como Banjército y Banorte evidenciaron la misma data de comunicaciones satelitales con cajeros automáticos sin encriptación.

“Contactamos por separado a Grupo Santander el 10 de julio de 2025. Intentamos lo mismo con Telmex a través de diversas vías”, especifica el documento. Los investigadores señalan que, dado que estos datos sin cifrar se pueden observar de forma totalmente pasiva, no hay forma de saber si alguien ha instalado una antena parabólica para escuchar. También aclaran que se ha realizado un esfuerzo considerable para intentar divulgar las vulnerabilidades que encontraron a las partes afectadas.

Los investigadores también obtuvieron información del contenido de las llamadas y mensajes de texto de ciudadanos estadounidenses en la red celular de la empresa T-Mobile. Asimismo, lograron acceder datos de la navegación wifi los pasajeros de aerolíneas en vuelos comerciales, comunicaciones hacia y desde infraestructura crítica como compañías eléctricas y plataformas de petróleo y gas en alta mar. Incluso, lograron acceder a comunicaciones militares y policiales de distintos cuerpos de seguridad de Estados Unidos.

El documento señala que cada vez que se descubre información confidencial en sus datos, el equipo de investigación ha tratado de realizar un esfuerzo significativo para identificar a la parte responsable, establecer contacto y revelar la vulnerabilidad. En varios casos, estas empresas les informó que había implementado una solución. En el caso de las siguientes partes, como T-Mobile y Walmart, solicitaron que se volviera a escanear y los investigadores lograron verificar que se había implementado una solución.