El sábado 21 de febrero de 2026, pasadas las cuatro de la tarde, el monitor de ciberseguridad VECERTRadar publicó una alerta en X que pasó relativamente desapercibida durante las primeras horas. Un usuario identificado como «malconguerra2» acababa de publicar en internet una base de datos con más de 46 gigabytes con información de Cashea, una de las apps financieras más conocidas del país, con cerca de 10 millones de usuarios registrados.
De la nada, 79 millones de registros de transacciones estaban navegando por la red. Los nombres, cédulas y teléfonos –entre otra información sensible– de millones de venezolanos que alguna vez compraron una nevera, un televisor o hasta pollo frito en Arturo’s, se hicieron públicos. La empresa confirmó el incidente esa misma noche con un comunicado, asegurando que había sido “contenido” y aclarando que los usuarios y claves no fueron vulnerados.
No era la primera vez que un actor anónimo pondría en riesgo la privacidad de millones. Y resultó que tampoco sería la última. De hecho, el ataque a Cashea sería uno entre decenas de ataques –enfocados en robar datos– a empresas e instituciones venezolanas desde 2023: y en aumento desde este año, con las startups venezolanas como principales presas.
Tres años de filtraciones
En 2025, América Latina se consolidó como la región con más ciberataques del mundo. Según Check Point –una empresa israelí líder en soluciones de ciberseguridad–, las organizaciones de la región sufrieron un promedio de 3.048 ataques semanales por entidad, superando a Asia-Pacífico, Europa y Norteamérica; y reflejando un crecimiento del 17% frente al año anterior.
Este tipo de acciones pueden tener distintos fines y objetivos. Por eso, para las organizaciones latinoamericanas, la preocupación va más que un bloqueo en sus sistemas: El 53% de los ciberataques exitosos derivan a la filtración de datos, según datos de Positive Tecnologies.
Por lo general, la información afectada termina siendo ofrecida como una materia prima en mercados negros digitales, y negociada al precio que convenga al hacker. Quien la compra, obtiene una base de datos utilizada para construir estafas de suplantación de identidad, campañas de phishing, y otros usos igualmente ilícitos.
Conocidos no sólo por su ingenio para hacer daño, sino también para resguardarse, este tipo de atacantes basan su operación bajo un cuidado estricto del anonimato, por lo que resulta casi imposible –sin una investigación entre agencias e instituciones especializadas– rastrearlos o conocer si están relacionados entre si o si se trata de actores individuales, colectivos o incluso iniciativas con respaldo estatal.
En Venezuela, la primera gran víctima de los últimos años fue el Banco de Venezuela. En abril de 2023, el grupo de ransomware LockBit 3.0 comunicó que habían accedido a información confidencial del banco y solicitaron un pago para no hacerla pública. El BDV publicó un comunicado de «total normalidad». Tres meses después, más de 7.000 documentos internos, entre los que se incluían cédulas, RIF, solicitudes de seguro, aparecieron en la página de LockBit.
En enero de 2024 le tocó al gigante de telecomunicaciones Digitel. El grupo de ransomware MedusaBlog –especializado en secuestro de datos corporativos– encriptó sus servidores y exigió 5 millones de dólares para no publicar la información. La transacción no sucedería, y el 12 de febrero, los atacantes subieron a internet casi 8 gigabytes de datos: listas de empleados con salarios, contratos de suscriptores, documentos financieros, cédulas y RIF de clientes.
En abril de 2025, la organización VE sin Filtro confirmó que los datos de al menos 3.2 millones de usuarios de Movistar Venezuela habían aparecido a la venta en un foro en línea: cédulas, nombres completos, ciudades de residencia y números de teléfono.
En 2026, la actividad aumentó significativamente. Primero fue la plataforma cripto Kontigo, cuando un ataque afectó los fondos de unos mil usuarios (sus fondos fueron reintegrados después). Un segundo ataque dirigido a sus procesos de autenticación fue detectado a tiempo por la empresa más tarde el mismo mes. Después del ataque a Cashea en febrero, Krece –una app venezolana de crédito al consumo– vio expuestos los datos de más de 6 millones de usuarios, incluyendo 4.5 millones de registros de transacciones, información de deudores y métodos de pago. Yummy Rides también sufrió una filtración con información de 30.000 conductores, incluyendo fotografías vinculadas a nombres completos.
El caso más reciente, y posiblemente el más grave de todos, llegó en abril de 2026. Un actor con el alias «GordonFreeman», ya conocido por ataques previos, anunció haber comprometido los sistemas del SENIAT –el Servicio Nacional Integrado de Administración Aduanera y Tributaria– extrayendo una base de datos con información de 13.8 millones de contribuyentes: 12.3 millones de personas naturales y 1.5 millones de empresas.
El paquete incluye nombres, cédulas, correos fiscales verificados, domicilios exactos, actas constitutivas y listas de accionistas. Es, en la práctica, el árbol genealógico corporativo y fiscal de Venezuela entera. Las autoridades venezolanas no emitieron ningún pronunciamiento oficial.
A la lista de afectados en este periodo se suman también empresas e instituciones como MRW, IVOO, Conviasa, Fibex, Rapikom, Metro de Caracas, PNB, INTT, PDVSA y otros casos adicionales de grandes empresas que no salieron a la luz pública pero rondaron como secretos a voces en Caracas. Todo eso amplía la gravedad en la forma en cómo se procesan y almacenan los datos en el país, sobre todo cuando las empresas mantienen silencio y no se pronuncian públicamente.
El hecho de que el atacante, quien previamente había estado vinculado a la filtración de datos de startups venezolanas como Yummy Rides y Rapikom, haya logrado acceder a los sistemas del SENIAT sugiere una continuidad y escalada en sus capacidades, lo que apunta a fallos estructurales profundos en la ciberseguridad del Estado venezolano. Según expertos, la plataformas críticas operan con infraestructura desactualizada, protocolos débiles y ausencia de medidas básicas como la autenticación de dos factores.
Y es que hasta la fecha, más que responsabilidad y prevención, la ciberseguridad en el país se trata más de buena voluntad.
La ciberseguridad en Venezuela, legalmente hablando
Las cifras confirman que el riesgo es una constante universal, pero en Venezuela la vulnerabilidad se ve multiplicada por un factor que, además de ser tecnológico, también es profundamente estructural. La asimetría que existe entre la sofisticación de los atacantes y la inacción de las víctimas va más allá del presupuesto, y puede verse como una crisis de responsabilidad institucional alimentada por un vacío normativo.
Mientras en otras latitudes la transparencia es una obligación costosa, en Venezuela la opacidad es un refugio gratuito. Para entender por qué el silencio se ha convertido en la respuesta más rentable ante un hackeo masivo, es necesario desarmar el esqueleto legal que hoy rige al país: un andamiaje que, en lugar de blindar al ciudadano, parece haber quedado congelado en el tiempo.
Si un atacante vulnera hoy las bases de datos de millones de venezolanos, el sistema legal reaccionaría con las herramientas de un mundo que ya no existe. La brújula jurídica del territorio sigue siendo la Ley Especial contra los Delitos Informáticos (LECDI), un texto promulgado en 2001 que nació cuando el «almacenamiento en la nube» sonaba a meteorología y el big data aún no entraba en las conversaciones del mundo corporativo.
El principal problema de la LECDI es su enfoque: está diseñada para castigar al delincuente —el que hackea o sabotea—, pero no para obligar a las instituciones a proteger al ciudadano, pues ignora casi por completo la responsabilidad de quien custodia la información. Aunque la ley tipifica con rigor delitos como el acceso indebido (Art. 6) o la violación de la privacidad de la data (Art. 20), pone todo el peso en sanciones penales.
En el estándar global moderno, la verdadera defensa del ciudadano no reside en la persecución del hacker, sino en el rigor de la sanción administrativa. El ejemplo más nítido es el Artículo 83 del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, que establece las condiciones para imponer multas que pueden alcanzar el 4% de la facturación anual global de una empresa. En Venezuela ese incentivo económico es, legalmente, inexistente. Sin multas que duelan en el balance financiero, la ciberseguridad queda relegada a un gasto opcional y no a una obligación legal.
¿Qué le queda entonces al venezolano «filtrado»? Un kit de emergencia legal que rara vez detiene el daño. El habeas data constitucional (Art. 28 de la Constitución) –el derecho a tocar la puerta de cualquier institución, pública o privada, y saber qué información tienen sobre una persona, para qué la usan y, si es necesario, pedir que la corrijan o la borren– , es un proceso judicial lento, diseñado para corregir un error en un expediente, no para gestionar una crisis masiva. Por otra parte, la demanda civil por daños y perjuicios exige probar el nexo causal entre la filtración específica y el daño sufrido, un laberinto probatorio casi imposible para el ciudadano común. Y la denuncia penal ante el CICPC se enfocará en cazar a un fantasma digital que probablemente opera desde otro continente, dejando intacta la negligencia de la institución local.
En el organigrama del Estado existen VenCERT y SUSCERTE, encargados de monitorear la salud digital del país, pero su prioridad legal y operativa son los sistemas del Estado y las infraestructuras críticas. Ante filtraciones en plataformas de consumo masivo o bancos privados, carecen de autoridad para intervenir de oficio, sancionar públicamente a una empresa negligente u obligar a la transparencia hacia las víctimas.
Este vacío institucional se traduce en una vulnerabilidad que explica de buena forma el contexto. Cuando la identidad —nombre, cédula, dirección y teléfono— terminan en un mercado negro digital por unos pocos dólares, la suplantación de identidad y la extorsión se vuelven mucho más especializados.
Según el X-Force Threat Intelligence Index 2026 de IBM, aunque explotar vulnerabilidades es la modalidad favorita de los hackers, el robo de credenciales sigue siendo atractivo, ahora potenciado por una inteligencia artificial generativa que permite a los criminales diseñar campañas de phishing tan perfectas que es casi imposible distinguirlas de la realidad. Si el delincuente sabe de ti tanto como tu propio banco, la confianza se rompe y quedas desarmado ante un enemigo que tiene el guión completo de tu vida privada.
De víctimas pasivas a ciudadanos informados
En el tablero legal venezolano, el usuario es el personaje más expuesto. El sistema actual no solo es incapaz de devolver la privacidad perdida y no responde a la negligencia de quienes custodian la información. Sin un sistema que obligue a invertir en escudos, el ciudadano queda atrapado en un ciclo donde el «mañana» no es una promesa de mejora, sino simplemente la fecha de la próxima filtración.
Reconocer este desamparo legal debe ser el punto de partida para una nueva cultura ciudadana. Las filtraciones suelen verse como un desastre natural ante el que solo queda esperar que pase la tormenta, pero la realidad es distinta.
Como bien señala la filósofa y profesora de la Universidad de Oxford Carissa Véliz, en su libro “Privacidad es poder: Datos, vigilancia y libertad en la era digital”, la privacidad no es un lujo individual, sino un asunto profundamente político y colectivo. Cuando los datos de tu vecino se filtran, el ecosistema entero se vuelve más predecible y vulnerable para el delincuente; por eso, proteger la información propia es, en última instancia, un acto de responsabilidad hacia los demás.
