Los SMS que nadie autorizó: cómo los políticos colombianos consiguieron tu número

MuchoHacker.lol recibió 93 denuncias de ciudadanos que afirman no haber dado permiso para recibir mensajes de campaña. El análisis de esta información sugiere que al menos 29 candidatos habrían usado datos personales de un número indeterminado de colombianos.

Días antes y durante las elecciones legislativas del 8 de marzo de 2026, cientos o quizás millones de colombianos recibieron mensajes de texto con propaganda política. Muchos de ellos nunca autorizaron ese contacto. Varias personas que se comunicaron con esta redacción afirman no tener ninguna relación con los candidatos que les escribieron, ni haber dado su número de teléfono a ninguna campaña.

El hallazgo más preocupante no es el volumen de mensajes. Es lo que algunos de ellos revelan: datos personales que las campañas no deberían tener y posibles infracciones a la Ley de Protección de Datos en Colombia.

El análisis de estas 93 denuncias muestra una práctica no regulada por ninguna autoridad y demuestra cómo politicos y publicistas explotan vulnerabilidades de los sistemas de comunicación entre políticos y electores en Colombia.

El análisis del dataset reveló algo que va más allá del spam político. Al menos dos candidatos enviaron mensajes que incluían el nombre del destinatario, su puesto de votación asignado y el número de mesa — datos que, aunque técnicamente públicos, están dispersos en registros de la Registraduría Nacional y requieren un tratamiento técnico deliberado para ser cruzados con números de celular y usados en envíos masivos personalizados. Alguien hizo ese trabajo.

Igualmente, un mensaje identificado en el dataset pedía además a los receptores que compartieran su comprobante de votación por WhatsApp “para llevar seguimiento del proceso” — una práctica que se asemeja a mecanismos de control político del voto, aunque MuchoHacker.lol no pudo establecer la intención detrás del mensaje.

“Hola LUIS, te recordamos tu lugar de votación”

Algunos mensajes van más allá de la propaganda genérica. En el dataset analizado por MuchoHacker.lol, al menos siete registros contienen información que sugiere acceso a datos personales del destinatario: nombre propio, puesto de votación asignado, número de mesa y municipio.

Un mensaje asociado a la campaña de Olga Lucía Velásquez (Partido Verde, candidata al Senado) rezaba: “Hola LUIS, te recordamos tu lugar de votación: Puesto: COLEGIO DISTRITAL USAQUEN SEDE A, Mesa: 24, Municipio: BOGOTA D.C. Vota Senado Olga Lucía Velásquez marcando X Partido Verde (el del girasol) y el #7”.

Esa información —nombre, puesto y mesa— corresponde a datos que la Registraduría Nacional asigna a cada elector y que, en principio, solo están disponibles a través de plataformas oficiales o bases de datos del Estado, espcíficamente, en la url: https://wsp.registraduria.gov.co/censo/consultar

La consulta del censo electoral de la Registraduría Nacional es una herramienta pensada para que cualquier ciudadano pueda saber en qué lugar votar. Funciona de forma simple: se ingresa el número de cédula, se resuelve una prueba automática para confirmar que quien consulta es una persona y el sistema devuelve el nombre del puesto de votación, su dirección y el número de mesa asignada.

El problema no es que esa información exista. El problema es cómo está protegida.

MuchoHacker.lol verificó que el sistema no requiere ningún tipo de registro, cuenta de usuario ni autenticación adicional. Cualquier persona con conocimientos básicos de programación podría automatizar miles de consultas seguidas, ingresando cédulas en secuencia y acumulando los resultados en una base de datos. El costo de hacerlo es mínimo: servicios comerciales disponibles en internet cobran menos de un dólar por resolver mil de las pruebas de verificación que protegen el sistema.

Adicionalmente, fuentes que contactaron a esta redacción reportaron haber identificado una posible falla de seguridad adicional en el sistema, de un tipo que podría permitir acceso no autorizado a información almacenada en los servidores. MuchoHacker.lol no realizó ninguna prueba técnica ofensiva sobre el portal — la información fue recibida de terceros y no ha sido confirmada oficialmente. Por esa razón, esta redacción notificó a la Registraduría Nacional del Estado antes de publicar.

El correo se envió el día de hoy. Es importante anotar que en otra de las investigaciones que hicimos sobre portales Biométricos la entidad no nos dio una respuesta coherente frente a la gravedad de la denuncia. Y a pesar de que nos puso a enviar un correo, nunca respondió.

Lo que sí es verificable sin ningún conocimiento técnico es lo más importante: con una cédula y menos de un minuto, cualquiera puede saber dónde vota otra persona. Esa puerta estuvo abierta durante toda la campaña electoral y seguirá abierta.

Cómo habría llegado esa información a una campaña política es la pregunta que esta redacción no ha podido responder.

MuchoHacker.lol contactó a la campaña de Olga Lucía Velásquez a través de su perfil en X para conocer su posición al respecto, pero al momento de publicación no había obtenido respuesta.

Un mensaje similar fue identificado en registros vinculados al candidato liberal Óscar Duarte, que también incluía nombre del destinatario, colegio electoral y número de mesa. Se le preguntó al candidato Duarte por el Whastapp que tiene en su perfil de Facebook pero no respondió.

Lalistadeltigre.com y Firmes por el SMS

Dentro de las evidencias que recolectamos, al menos 10 personas, afirmaron que habían recibido el mensaje de que dirigía a los destinatarios al sitio lalistadeltigre[.]com, vinculado al Movimiento Patriotas.

Propuesta:

---

Uno de los mensajes identificados en el dataset dirigía a los destinatarios a lalistadeltigre[.]com, un sitio de campaña que al menos nombra a meimbros del Movimiento Patriotas. Al analizar el portal y revisar su política de privacidad, esta redacción encontró que la página habría sido construida sobre TuTarjeton.com, una plataforma de la empresa colombiana Wappid que, según sus propios términos y condiciones, usa información pública de la Registraduría para mostrar datos de candidatos y es utilizada tanto por campañas políticas como por votantes.

La empresa está identificada y tiene un contacto público: Juan Manuel Corredor, a quien MuchoHacker.lol intentó contactar por WhatsApp antes de la publicación de este artículo, sin obtener respuesta.

La presencia de un intermediario tecnológico identificable abre una pregunta adicional: si Wappid administra información de candidatos y conecta esos datos con los de los votantes finales, ¿qué tipo de tratamiento hace de esa información y bajo qué base legal? Y no solo esto. Si muchos denunciantes afirman ¿que no dieron autorización para el envío de datos por parte de esta organización por qué esta empresa tiene esos datos ? Acá una de las 10 denuncias recibidas sobre este tema:

La identificación de Wappid marca una diferencia respecto a los demás casos documentados en este artículo.

Mientras que la mayoría de las campañas operaron a través de códigos cortos sin un responsable claramente individualizable, aquí existe una empresa con nombre, un representante con datos de contacto públicos y una plataforma con términos y condiciones firmados.

Eso significa que cualquier ciudadano que haya recibido mensajes vinculados a esta infraestructura tiene una vía concreta: puede enviarle una petición directa a Wappid exigiendo saber de dónde obtuvo sus datos, quién los entregó y con qué autorización.

En este reportaje no ha sido posible determinar si existe una relación formal entre Wappid y la campaña de Abelardo o si se trata de una estrategia de marketing que utiliza la empresa para promocionarse entre políticos.

29 candidatos, 12 partidos, infraestructura compartida

El dataset compilado por MuchoHacker.lol a partir de capturas enviadas por lectores contiene 68 registros verificables que quedaron luego de los analisis, limpieza y descarte, atribuibles al menos a 29 candidatos o movimientos políticos de 12 partidos distintos.

El análisis revela un patrón de infraestructura compartida: al menos cinco códigos cortos SMS habrían sido usados simultáneamente por más de un candidato. El código 890720, por ejemplo, habría servido a cuatro candidatos diferentes; el 890023, a tres.

Eso significa que un mismo operador de mensajería masiva habría prestado servicios —y potencialmente administrado bases de datos— de múltiples campañas. Quién controla esa infraestructura, y qué datos maneja, es una pregunta abierta.

Los partidos con más registros en el dataset son el Partido Liberal (16 mensajes), Salvación Nacional (14) y Partido Verde (15, sumando variantes del nombre).

Un tipo de mensaje reservado para emergencias

Varios de los mensajes atribuidos a Katherine Miranda llegaron como SMS flash, un formato técnico que se muestra directamente sobre la pantalla del teléfono —interrumpiendo cualquier actividad— sin quedar almacenado en la bandeja de entrada.

A diferencia de un mensaje de texto convencional, el SMS flash no puede ignorarse: aparece de forma inmediata y ocupa toda la pantalla hasta que el usuario lo descarta.

En países como Alemania, Reino Unido y Estados Unidos, ese canal está reservado para alertas de emergencia gubernamentales, avisos de desastres naturales o notificaciones críticas de seguridad pública.

En Colombia no existe una regulación explícita que prohíba su uso comercial o político, pero el uso de este formato para publicidad electoral plantea una pregunta que la Comisión de Regulación de Comunicaciones (CRC) tendría elementos para responder: ¿puede una campaña política usar un canal de alerta de emergencia – al menos en otros países – para pedir votos?

A juzgar por los resultados de la política este aviso tuvo el efecto contrario. En vez de invitar a votar generó repulsión.

Según la empresa de telecomunicaciones Infobip, el SMS flash —clasificado como Clase 0 bajo el estándar GSM— fue diseñado originalmente para alertas de emergencia como huracanes, inundaciones o tornados, y para códigos de autenticación bancaria de un solo uso. Su característica definitoria es que anula cualquier actividad en la pantalla del teléfono, incluso si está bloqueado. En Estados Unidos, los operadores de telefonía directamente bloquean este tipo de mensajes en sus redes para evitar abusos.

“Responde NO si no deseas más información”

Solo ocho mensajes de 68 analizados incluían algún mecanismo para que el destinatario pudiera cancelar la suscripción. Siete de ellos pertenecen a la campaña de María Paz Gaviria (Partido Liberal). El resto —aproximadamente el 88% de los registros— no ofrecía ninguna opción de baja.

Esto tendría implicaciones bajo la Ley 1581 de 2012, la norma colombiana de protección de datos personales. Esa ley exige que quien trate datos personales —incluyendo números de teléfono con fines de comunicación comercial o política— cuente con la autorización previa, expresa e informada del titular. También obliga a informar al destinatario sobre sus derechos y a ofrecer mecanismos para revocar esa autorización.

Varios de los denunciantes que escribieron a MuchoHacker.lol aseguran no haber dado ningún tipo de consentimiento. “Nunca le di mi número a ninguna campaña ni a ningún partido”, señaló una persona que recibió mensajes de al menos dos candidatos distintos en el mismo fin de semana.

Mensajes el día de las elecciones

Parte de los registros corresponde al propio 8 de marzo, día de las elecciones. Varios mensajes identificados como enviados ese día incluían instrucciones de voto, recordatorios del puesto electoral y llamados de última hora.

Uno de los registros, atribuido a un organizador de campaña no identificado, pedía a los receptores que compartieran su comprobante de votación por WhatsApp al número 315 083 7521 “para llevar seguimiento del proceso e informar a nuestros testigos”. Este tipo de solicitud podría interpretarse como una práctica de control político del voto, aunque MuchoHacker.lol no puede establecer con certeza el contexto ni la intención detrás del mensaje.

Ranking de spam político por partido y por candidato

Lo que no sabemos

El dataset es una muestra parcial construida a partir de denuncias voluntarias. No permite determinar el número total de colombianos que habrían recibido estos mensajes, ni cuántos de ellos dieron o no su consentimiento. Tampoco es posible confirmar, a partir de las capturas disponibles, el origen exacto de las bases de datos que habrían usado las campañas.

Códigos cortos

Cada mensaje de texto masivo en Colombia sale identificado con un código corto: un número de entre 5 y 6 dígitos que, en teoría, permite saber quién envió el mensaje. Esos códigos son asignados por la Comisión de Regulación de Comunicaciones (CRC) a empresas operadoras de mensajería que se registran formalmente ante el Estado.

El problema es lo que ocurre después de esa asignación. Estas empresas pueden revender el servicio a terceros — agencias de marketing, intermediarios políticos, cualquier cliente que pague — sin que el destinatario del mensaje pueda saber quién contrató el envío en último término. El código identifica al operador registrado ante la CRC, no necesariamente a quien tomó la decisión de enviar el mensaje ni a quien aportó la base de datos con los números de teléfono.

En el dataset analizado por MuchoHacker.lol, cinco códigos cortos aparecen vinculados a más de un candidato simultáneamente — algunos de partidos completamente distintos. Eso indica que un mismo operador intermediario habría prestado el servicio a múltiples campañas, administrando en paralelo las bases de datos y los envíos de cada una. Quién es ese intermediario, qué datos maneja y bajo qué condiciones los obtuvo son preguntas que los códigos cortos solos no pueden responder.

Convenciendo con mensajes cortos

Las nubes de palabras que aparecen a continuación son una herramienta visual para entender de qué hablaban los políticos cuando enviaban mensajes masivos.

Çada palabra aparece con un tamaño proporcional a la frecuencia con que se repite en los SMS documentados: cuanto más grande, más veces apareció en los mensajes de ese partido. No son un análisis estadístico exhaustivo — son una radiografía del vocabulario que cada campaña decidió usar para llegar, sin permiso, al celular de los colombianos.

La pregunta que este reportaje no pudo responder

Después de analizar egistros, identificar 29 candidatos, rastrear códigos cortos compartidos y documentar mensajes con nombres propios y puestos de votación, hay una pregunta que sigue sin respuesta: ¿de dónde sacaron los datos?

No sabemos si las campañas compraron bases de datos a terceros. No sabemos si algún operador de mensajería masiva consolidó información de múltiples fuentes sin que los candidatos lo supieran — o sabiéndolo. No sabemos si hubo filtración de registros del Estado. Y no sabemos si los colombianos que recibieron estos mensajes alguna vez autorizaron, en letra pequeña y sin leerla, que sus datos fueran usados con fines políticos.

Lo que sí sabemos es que alguien tiene esa información. Y que la usó.

Esto no es un problema del pasado. Colombia se aproxima a nuevas elecciones — las presidenciales de 2026 — con esta pregunta sin resolver y sin que ninguna autoridad haya abierto una investigación pública sobre el origen de los datos usados en la campaña legislativa. La SIC tiene facultades para exigir respuestas. La Registraduría podría aclarar si su infraestructura fue el vector. Los propios partidos podrían explicar a sus electores de dónde salieron los números.

Ninguno lo ha hecho.

Mientras eso no ocurra, cualquier colombiano con un número de celular activo tiene razones para preguntarse si su información ya está en manos de una campaña que aún no ha empezado a escribirle.

Qué pueden hacer los ciudadanos

Cualquier colombiano que haya recibido uno de estos mensajes sin haberlo autorizado tiene un camino concreto. El primero es directo: contactar a la campaña o al partido que envió el mensaje y exigir una explicación por escrito sobre el origen de sus datos personales. Esa petición está respaldada por la Ley 1581 de 2012, que reconoce el derecho de todo ciudadano a saber quién tiene su información, para qué la usa y de dónde la obtuvo. No es un favor — es un derecho.

Si la campaña no responde, responde con evasivas o simplemente ignora la solicitud, el siguiente paso es la Superintendencia de Industria y Comercio (SIC). La entidad tiene una plataforma en línea para radicar quejas por violaciones a la ley de protección de datos, y está facultada para investigar, sancionar y ordenar la eliminación de la información. El proceso no requiere abogado.

Cada queja que llegue a la SIC sobre estos mensajes es un registro formal. Y suficientes registros formales son lo que convierte una denuncia periodística en una investigación oficial.

Esta publicación se basa en un dataset construido a partir de capturas de pantalla enviadas por lectores y análisis forense realizado en Google Colab. Los datos fueron anonimizados para proteger la identidad de los denunciantes. MuchoHacker.lol notificó a las campañas mencionadas antes de la publicación.

————————————————————————————————————————

Metodología: Del Pantallazo al Dataset Estructurado

Para esta investigación, transformamos una muestra de capturas de pantalla de mensajes de texto (SMS) de campaña en una base de datos analizable. El proceso siguió cuatro etapas:

1. Ingesta y OCR (Reconocimiento Óptico)

Utilizamos visión artificial para “leer” las imágenes. Dado que los pantallazos de celulares contienen mucho “ruido” (hora del sistema, porcentaje de batería, iconos de señal), aplicamos un motor de OCR (Optical Character Recognition) para extraer todo el texto crudo de los 93 archivos originales.

2. Limpieza Quirúrgica con Python (Pandas + Regex)

Mediante programación en Python, diseñamos filtros de Expresiones Regulares (Regex) para separar el trigo de la paja:

• Aislamiento de Metadatos: Detectamos y separamos códigos de emisor (gateways) y horas de envío.
• Eliminación de Basura: Borramos automáticamente caracteres extraños generados por el OCR al intentar leer iconos de la barra de estado (ej: @ 0*10, KB/s).
• Anclaje de Mensaje: Programamos el algoritmo para identificar el inicio real del discurso político (buscando signos de exclamación o palabras en mayúsculas).
  

3. Curaduría Humana

Tras una limpieza automática que dejó 82 registros válidos, realizamos una revisión manual para:

• Asignar el Partido Político y el Candidato correspondiente.
• Verificar la integridad de las URLs y los números de tarjetón.
• Corregir errores sutiles de interpretación del OCR en nombres propios.
  

4. Análisis de Infraestructura y Narrativa

Con el dataset final, ejecutamos tres tipos de análisis:

• Infraestructura (Gateways): Identificamos los “códigos cortos” (emisores) para ver si distintas campañas comparten la misma plataforma tecnológica de envío masivo.
• Análisis Semántico: Creamos nubes de palabras por partido para detectar si existen guiones compartidos o palabras clave específicas de cada campaña.
• Estadística de Frecuencia: Determinamos qué partidos y políticos dominaron el volumen de mensajes en la muestra.

Compartirmos por transparencia y análisis el dataset

Archivo de sms :Spam Político