DNI vincula robo de datos de la DIAN con elecciones del 31 de mayo sin pruebas públicas
El 18 de marzo de 2026, la Dirección Nacional de Inteligencia publicó un comunicado de prensa que vincula una serie de intrusiones a sistemas estatales — entre ellas la brecha en la plataforma de agendamiento de la DIAN, ocurrida el 6 de marzo — con una presunta operación coordinada para alterar los resultados electorales del 31 de mayo.
Es una afirmación grave. Y por ahora, y como es costumbre ya fue informada por la mayoría de medios masivos de Colombia que no se detienen a pensar si los datos de la entidad son verificados o tienen algún sustento.
MuchoHacker.lol fue el primer medio en documentar lo que ocurrió en la DIAN. Llevamos más de 15 años narrando cómo se roban datos de colombianos. Lo que hemos visto en ese tiempo nos obliga a hacer preguntas antes de aceptar conclusiones.
Lo que dice el comunicado
Según la DNI, las intrusiones recientes apuntan a construir un “lago de datos” con nombres, apellidos y cédulas de ciudadanos colombianos. La entidad afirma que ese repositorio presuntamente buscaría “alterar datos en las diferentes fuentes y reportes de información electoral” antes y después del 31 de mayo.
A partir de ese diagnóstico, la DNI recomienda categorizar como “Infraestructura Crítica Cibernética” todo el hardware, software y firmware vinculado al conteo de votos, y pide que una veeduría internacional TIC acompañe el proceso de auditoría.
Son recomendaciones de política pública sustantivas. No son el lenguaje habitual de una alerta de seguridad.
Lo que el comunicado no muestra
El documento no incluye indicadores técnicos que respalden el vínculo entre los datos robados y una operación electoral. No hay hashes, no hay dominios, no hay infraestructura identificada, no hay atribución de actores.
En ciberseguridad, la diferencia entre “robaron datos” y “usarán esos datos para alterar elecciones” no es semántica. Es la diferencia entre un hecho documentado y una hipótesis de inteligencia. Ambas cosas pueden coexistir en un comunicado — siempre que estén claramente separadas. En este texto, no lo están.
Lo que nosotros sí hemos visto
El robo masivo de datos en Colombia es real y sistemático. Lo hemos documentado durante 15 años: la brecha en la DIAN, el ataque de ransomware al FNA, la exposición de datos del ICFES, las filtraciones en Serlefin, en Inter Rapidísimo, en la Secretaría de Salud de Bogotá.
El patrón que se repite no es el de operaciones con objetivos políticos sofisticados. Es el de captación masiva de datos sin consecuencias para los responsables, sin notificación a los afectados, y sin rendición de cuentas institucional.
Lo que sí hemos encontrado con relación a las elecciones es diferente y preocupante por sus propios méritos: en febrero de 2026, documentamos una plataforma que captaba datos personales y puestos de votación de ciudadanos colombianos, sin que la Registraduría pudiera confirmar su origen. Nadie respondió por ella. Ese caso — que puede leer en detalle aquí — ilustra un riesgo concreto y verificable en el entorno electoral. Pero no es lo mismo que alterar resultados.
Por qué importa hacer la distinción
Cuando una entidad de inteligencia mezcla hechos verificados con hipótesis no sustentadas en un comunicado de prensa, el efecto no es necesariamente más seguridad. Puede ser exactamente lo contrario: desconfianza en el proceso electoral sin una amenaza comprobada que la justifique, o atención desviada de los riesgos reales que sí hemos documentado.
La DNI puede tener información clasificada que respalde sus conclusiones. Eso es posible y legítimo. Pero un comunicado público que recomienda medidas extraordinarias sobre la infraestructura electoral, dirigido a la opinión pública, tiene una obligación de transparencia que este texto no cumple.
Seguimos monitoreando. Y seguiremos preguntando.
