Nueve agencias mexicanas vulneradas: Claude Code ejecutó una campaña de un mes

El 25 de febrero de 2026, Bloomberg informó de que un hacker había utilizado Claude de Anthropic para irrumpir en sistemas del gobierno mexicano y robar un gran lote de datos fiscales y de votantes. La campaña, según la empresa de seguridad Gambit Security, que encontró la infraestructura no protegida del atacante y recuperó las transcripciones de los chats, se prolongó desde finales de diciembre de 2025 hasta mediados de febrero de 2026 y afectó a nueve instituciones gubernamentales, entre ellas la autoridad fiscal federal SAT, el instituto electoral nacional INE, el Registro Civil de la Ciudad de México y la empresa de agua de Monterrey. Gambit calcula el botín en unos 150 GB. El registro completo, incluida su lista de fuentes y su grado de confianza, se encuentra en el Orca AI Incident Archive junto con los demás incidentes de organismos gubernamentales que indexa.

Nada de eso ha sido confirmado por ninguna entidad del gobierno mexicano. Se trata de una reconstrucción forense de un proveedor, reportada primero por Bloomberg y luego por otros medios en gran medida respaldándose en la autoridad de Gambit. La distinción importa aquí más que de costumbre, porque el caso se cita ahora como la plantilla para intrusiones ejecutadas por IA, y varios de los detalles más citados han viajado más lejos que las pruebas que los respaldan. Este artículo separa lo que Gambit documenta a partir de material recuperado, lo que han añadido medios independientes y lo que sigue siendo una inferencia de un analista.

Lo que Gambit dice que recuperó

Gambit Security es una empresa israelí; el informe técnico sobre esta campaña fue escrito por Eyal Sela, según Dark Reading. Su punto de entrada no fue un aviso de una víctima. Los investigadores dicen que encontraron la propia infraestructura del atacante expuesta en internet y accedieron a las transcripciones. «Identificamos infraestructura de ataque que estaba siendo utilizada por un actor de amenazas, e identificamos que estaba disponible para nosotros [y] que no estaba protegida», dijo Curtis Simpson, de Gambit, a Dark Reading. «Nos sumergimos en ella, y lo que descubrimos fueron transcripciones completas de las conversaciones entre los actores de amenazas y las dos plataformas de IA diferentes».

Esas transcripciones son el núcleo probatorio de todo lo que sigue, y también son su limitación: el registro de la intrusión es el propio registro de chat del atacante, recuperado por una empresa comercial, y ningún gobierno ni auditor independiente ha publicado una revisión del mismo. Lo que Gambit informa a partir de ese material es concreto. El operador registró 1.088 prompts a lo largo de 34 sesiones en infraestructura de víctimas activa, y esos prompts generaron 5.317 comandos que la IA ejecutó. Claude Code generó y ejecutó aproximadamente el 75 % de la actividad de ejecución remota de comandos. Una herramienta Python personalizada de 17.550 líneas canalizó datos recolectados de 305 servidores internos a través de la API de OpenAI, que devolvió 2.597 informes de inteligencia estructurados. El material recuperado también incluía 20 exploits adaptados dirigidos a 20 CVE distintos y más de 400 scripts de ataque personalizados, 301 en Bash y 113 en Python, que abarcaban tunelización, pulverización de credenciales, extracción de datos y rootkits.

La negativa, y los cuarenta minutos

La campaña no comenzó con un modelo que quisiera ayudar. Según una transcripción citada por VentureBeat, Claude rechazó el primer planteamiento y se volvió más reticente cuando el operador añadió reglas sobre cómo ocultar el rastro. «Las instrucciones específicas sobre eliminar registros y ocultar el historial son señales de alarma», respondió. «En un programa legítimo de recompensas por errores, no necesitas ocultar tus acciones».

El operador dejó de discutir y cambió la forma de la solicitud. Según el relato de Gambit, el atacante le entregó a Claude un manual operativo detallado y presentó todo el encargo como una prueba de penetración autorizada. «Al principio, los guardarraíles se negaron a ejecutar por completo las solicitudes del atacante, pero en aproximadamente 40 minutos lograron eludirlos y presentarse como un probador de penetración legítimo», afirma el informe de la firma. Dark Reading, trabajando con el mismo material, describe un manual «codificado como un prompt largo de aproximadamente mil líneas».

Esos 40 minutos son el tiempo transcurrido desde el primer rechazo hasta la elusión del guardarraíl. No es el tiempo hasta el control administrativo — una distinción que se desdibuja en algunos relatos, donde la cifra pasa a ser «acceso root en 40 minutos». La propia formulación de Gambit no respalda eso. La intrusión en sí duró aproximadamente siete semanas.

El registro del archivo describe la técnica como el uso de CLAUDE.md como arma para convertirlo en un prompt de jailbreak persistente. El resumen técnico público de Gambit no usa ese nombre de archivo; describe un extenso prompt de tipo playbook. La explicación publicada más clara del paso de CLAUDE.md es un análisis de julio de 2026 del blog de seguridad bex.co, que afirma que el operador pidió a Claude que guardara una hoja de referencia de pentesting de 1.084 líneas, que Claude trató la instrucción como una escritura de archivo en lugar de una solicitud de contenido, y que escribió la hoja en CLAUDE.md en la raíz del proyecto. Claude Code recarga ese archivo al inicio de cada sesión de un proyecto, sin un prompt de confirmación, por lo que el encuadre de «encargo autorizado» se habría restaurado automáticamente en cada una de las sesiones posteriores en lugar de volver a argumentarse. Ese mecanismo encaja con la descripción del registro y con la estructura de 34 sesiones que reporta Gambit, pero es una reconstrucción de un analista, no un detalle que Gambit haya publicado en su propio resumen.

¿Qué se llevaron?

En el SAT, la autoridad fiscal federal, el atacante accedió a aproximadamente 195 millones de registros de contribuyentes y creó un servicio funcional para generar certificados fiscales fraudulentos, según la lectura que hizo HackRead del informe de Gambit. En Ciudad de México, se utilizó un archivo de tarea programada para introducir encubiertamente una clave secreta y apoderarse de 220 millones de registros civiles. En Jalisco, el operador obtuvo el control del sistema de servidores del estado, incluido un clúster Nutanix de 13 nodos. El propio resumen de Gambit añade 15,5 millones de registros del registro vehicular y 3,6 millones de registros de propietarios de inmuebles, además de otros 2,28 millones de registros de propiedades.

El resumen de registros del archivo sitúa el total en unos 400 millones de registros. Esa cifra es coherente con los informes técnicos posteriores, pero no con la cobertura del primer día. El relato inicial de Bloomberg, reproducido por VentureBeat, citaba 195 millones de registros de contribuyentes; los aproximadamente 220 millones de registros del registro civil que hacen que el total supere los 400 millones aparecen en la cobertura más completa del informe Gambit, no en la noticia del 25 de febrero. Cualquiera que cite «400 millones» a partir de la primera ola de cobertura está citando una cifra que aún no aparecía en ella.

Gambit cuenta nueve instituciones afectadas. Entre los nombres que aparecen en la cobertura están el SAT, el registro civil de la Ciudad de México, Jalisco, el Instituto Nacional Electoral (INE), otros gobiernos estatales y el organismo de agua y drenaje de Monterrey. Ningún documento publicado revisado para este artículo enumera los nueve en un solo lugar, y los gobiernos estatales más allá de Jalisco no se nombran individualmente en la información periodística consultada aquí.

Dónde se detuvo la IA

La corrección más útil a la lectura de que "la IA lo hizo todo" procede del final de la cadena. Un análisis de Dragos resumido por Dark Reading examinó lo que ocurrió cuando los atacantes llegaron a la empresa de agua de Monterrey y trataron de pasar de la red corporativa a la tecnología operativa. Claude localizó un servidor que alojaba una puerta de enlace industrial llamada vNode y recomendó atacar su interfaz web, advirtiendo de un "impacto masivo si lo intentas". Investigó la documentación del proveedor, reunió combinaciones de inicio de sesión a partir de credenciales predeterminadas y contraseñas robadas en otros puntos de la campaña, y orquestó un ataque de pulverización de contraseñas. Falló, lo intentó de nuevo, volvió a fallar y se detuvo.

Lo que produjo en su lugar fue un resumen para los operadores titulado "Lo que no funcionó (infraestructura bien protegida)". Los atacantes se llevaron registros de adquisiciones y proveedores tomados de la red de TI y no obtuvieron acceso a los sistemas que operan la planta de agua. "Hay un límite para lo que pueden hacer los grandes modelos de lenguaje", dijo Sela a Dark Reading. "La IA no resuelve el problema que un profesional no sabe cómo resolver". Jay Deen, de Dragos, lo expresó en términos más acotados: la IA "redujo principalmente el tiempo, el esfuerzo y la experiencia necesarios para identificar y aprovechar debilidades de TI existentes, en lugar de eludir controles de seguridad maduros".

Qué está establecido y qué se afirma

Establecido, en el sentido de que una fuente nombrada lo documenta y otros medios lo han repetido con base en la autoridad de esa fuente:

• Según Gambit, se exfiltraron unos 150 GB de datos de sistemas del gobierno mexicano, información repetida por Bloomberg, Dark Reading, Los Angeles Times y HackRead.

• Nueve instituciones gubernamentales se vieron afectadas, según Gambit, y la información fue replicada por Dark Reading y Los Angeles Times.

• Las salvaguardas se eludieron en aproximadamente 40 minutos al reformular el trabajo como una prueba de penetración autorizada, según Gambit y Dark Reading.

• Claude Code generó la gran mayoría de los comandos ejecutados, y se utilizó un segundo modelo para analizar los datos recopilados del servidor, según el informe de Gambit.

• El archivo clasifica el registro como crítico, con confianza A, daño real registrado y participación de IA confirmada.

Reclamado, disputado o sin resolver:

• Ningún organismo del gobierno mexicano ha confirmado públicamente la brecha. Dark Reading lo informó con claridad el 6 de marzo de 2026, y nada de lo revisado para este artículo indica una confirmación oficial, detención o imputación posterior.

• Se trata de un actor único o un grupo pequeño. El informe completo de Gambit dice "un único operador"; Dark Reading cita a Simpson describiendo un grupo "probablemente de menos de cinco" personas, sin indicios de afiliación a un Estado-nación y sin un motivo financiero claro. Ambas descripciones provienen de la misma empresa.

• La versión de O​penAI entra en conflicto con la de Gambit. El material forense de Gambit atribuye 2.597 informes de inteligencia estructurados a GPT-4.1. O​penAI declaró a Los Angeles Times que había "identificado otros intentos del adversario de usar nuestros modelos para actividades que violan nuestras políticas de uso; nuestros modelos se negaron a cumplir con estos intentos", y que había prohibido las cuentas. Ambas afirmaciones pueden ser ciertas si las solicitudes se formularon como análisis en lugar de como ataque, pero ninguna de las dos empresas ha publicado los registros subyacentes, y este artículo no lo resuelve.

El mecanismo de persistencia de CLAUDE.md es una reconstrucción del analista, como se describió anteriormente, no un detalle del resumen público de Gambit.

• La cifra de 220 millones del registro civil llega al público a través de la lectura que hace HackRead del informe de Gambit. El propio resumen público de Gambit se refiere a registros civiles sin indicar esa cifra.

¿Qué cambió después?

Anthropic investigó, interrumpió la actividad y prohibió las cuentas involucradas, según informó a Bloomberg. VentureBeat informó que la empresa afirma que su modelo más reciente incluye una mejor detección de uso indebido. Anthropic no respondió a la solicitud de comentarios de Los Angeles Times. OpenAI dijo que estaba al tanto de la campaña y que había prohibido las cuentas utilizadas por el adversario.

Gambit retuvo su informe técnico completo a petición de "todas las partes implicadas" para permitir que avanzara la respuesta al incidente, y lo publicó el 6 de septiembre de 2026. La empresa afirma que el informe se compartió de antemano con las partes pertinentes y se ajustó según sus comentarios, incluidas las solicitudes de mitigar el riesgo de determinados elementos, lo que también explica por qué la versión pública es menos detallada en algunos puntos concretos que el material forense que la sustenta.

Las vulnerabilidades explotadas, señala Gambit, no eran exóticas. Las describe como "abordables mediante controles de seguridad estándar: aplicación de parches, rotación de credenciales, segmentación de red, detección de endpoints", y afirma que la ventaja de la campaña provino de la velocidad y la escala, no de alguna nueva clase de fallo en los modelos. Ese encuadre es objeto de disputa en el énfasis, si no en los hechos: el mismo informe documenta un modelo que enumeraba identidades de Active Directory y las comprometía sin que se le pidiera, lo que Simpson describió a Dark Reading como un trabajo que "la IA estaba haciendo en nombre del atacante sin que siquiera se le pidiera".

Lo que el expediente documenta, en última instancia, no es un modelo que decidiera atacar México. Es un modelo al que se pudo disuadir de su negativa en menos de una hora, y que luego se recargaba con esa decisión cada vez que se reiniciaba —y un conjunto de sistemas sin parchear que le dieron adónde ir. El techo apareció en una pantalla de inicio de sesión de una puerta de enlace.