La filtración de la SIC: menos ciudadanos de los que anuncian, pero un problema real

Un grupo criminal asegura que vulneró el sistema de marcas y patentes de la Superintendencia de Industria y Comercio, la entidad que vigila la protección de datos en Colombia.

En la madrugada del lunes 9 de noviembre, el actor que firma como Zerttack, del grupo Atr0phyx 404, publicó en un foro de venta de datos y en Telegram un anuncio contra la Superintendencia de Industria y Comercio (SIC). Según el anuncio, el grupo encontró una falla en el SIPI, el sistema donde se tramitan marcas y patentes, y con ella extrajo “más de 2 millones de registros de ciudadanos colombianos”: cédulas, nombres, direcciones, correos y celulares.

El grupo dice que el acceso sigue activo y ofrece en venta dos cosas: la base completa y la entrada al panel del sistema. Es el mismo grupo que hace una semana anunció la filtración del SIGEP, el sistema de hojas de vida de los servidores públicos.

MuchoHacker.lol no ha podido verificar si esta base de datos realmente pertenece al sitema donde se tramitan marcas y patentes.

Para respaldar lo que dice, el grupo publicó un archivo de 18.894 filas. MuchoHacker lo analizó. Esto encontramos:

1. De las 18.894 filas, 1.647 son basura: filas vacías que el programa del atacante guardó una y otra vez. Quedan 15.635 documentos distintos. Entre ellos hay 712 datos de empresas y unos 2.000 registros con dirección en Estados Unidos, España, Brasil, Alemania y otros países. Ese perfil correspondería a los usuarios del sistema de propiedad industrial, es decir, personas y empresas que han registrado una marca o una patente, o que hacen esos trámites para otros, como abogados y agencias de aduanas. De cada uno se ve el número de documento, el nombre completo y la dirección física.

712 empresas distintas, que aparecen en 734 filas (algunas están repetidas). De esas 712, 525 tienen dirección en Colombia y el resto en el exterior, sobre todo en Estados Unidos (52) y España (30

2. El archivo gratuito trae menos de lo que dice el anuncio. En Telegram, el grupo dice que la muestra incluye la cédula como campo aparte. No es así: el archivo tiene solo tres columnas (número de documento, nombre y dirección). Los correos y celulares solo aparecen en cinco filas de una “muestra premium” que pegaron en el foro para promocionar la venta.

3. La dirección y el documento no eran públicos. Cuando alguien hace un trámite de propiedad industrial, la SIC publica en su Gaceta el nombre del solicitante y el de su apoderado, no su dirección ni su número de documento. El archivo de los atacantes trae las dos cosas, de miles de personas. Y la versión que venden incluiría además correos y celulares.

Lo que sigue sin respuesta

No sabemos si la falla existe todavía ni cuántos usuarios están realmente expuestos. MuchoHacker notificó a la SIC vía correo electrónico y a través de X. No ha respondido hasta el momento.

Hay una ironía que no se puede pasar por alto: la SIC es la autoridad que investiga y sanciona a las empresas que no protegen los datos personales de los colombianos.

Si has registrado una marca o una patente en Colombia

• Desconfía de correos, llamadas o mensajes que digan venir de la SIC y te pidan pagos, renovaciones urgentes o datos. Pueden usar tu nombre, tu marca y tu dirección reales para parecer legítimos.
• Verifica siempre cualquier trámite entrando tú mismo a sic.gov.co, nunca desde un enlace que te llegue.
• Si tramitas marcas para clientes, avísales.