Dicen vender 41,4 millones de datos: casi el mismo número del censo electoral

Un usuario de un foro de venta de datos robados asegura que entró a los sistemas de la Registraduría Nacional y que tiene fotos, huellas y datos de 41,4 millones de colombianos. Para convencer a los compradores, mostró la supuesta ficha del presidente Abelardo de la Espriella. Pero esos datos no son del presidente: corresponden a su papá.

En MuchoHacker.lol revisamos las fichas que el vendedor mostró como prueba y hay tres cosas que no cuadran. Los datos del presidente son en realidad los de su papá, Abelardo de la Espriella Juris. La del expresidente Petro trae datos que ya se habían publicado en 2022. Y la cantidad de personas que dice tener es casi igual al número de colombianos habilitados para votar en 2026.

Nada de eso prueba que el ataque sea falso, pero tampoco que sea cierto. Le avisamos a la Registraduría el 5 de noviembre a las 6:45 a. m. y esperamos su respuesta. En varias oportunidades que hemos intentado hablar con esta entidad se ha negado a darnos respuestas.

Qué se anuncia

En la madrugada del 4 de noviembre, una cuenta llamada GordonFreeman1 publicó en un foro donde se compran y venden bases de datos robadas, un aviso titulado “Registro Civil Nacional de Colombia: 41,4 millones de registros biométricos”. Esto es lo que dice el vendedor, sin que haya sido comprobado:

• Que habría entrado a los sistemas de la Registraduría a través de una “API vulnerable”, es decir, una puerta técnica por la que un sistema le pide datos a otro.
• Que tendría 41.415.693 registros, con un peso de 1,45 terabytes, y que equivaldrían a los votantes actuales del país.
• Que cada registro incluiría tipo y número de documento, nombre completo, fecha y lugar de nacimiento, fecha y lugar de expedición de la cédula y su estado (vigente o no).
• Que tendría además la foto y las huellas de cada persona.
• Que vende la base completa y, aparte, el acceso a una herramienta de consulta: pones una cédula y te devuelve los datos de la persona.

Como “prueba”, el aviso muestra fichas de dos presidentes y de siete artistas y creadores de contenido, además de una cuadrícula con decenas de fotos y huellas de personas anónimas. La imagen principal del aviso, con el logo de la Registraduría, fue hecha con inteligencia artificial: así lo dice el propio nombre del archivo.

La noticia ya se está moviendo. La cuenta de X Dark Web Intelligence difundió el anuncio en las horas siguientes.

Qué verificamos

1. La ficha “del presidente” es la de su papá. La muestra dice que la persona nació en Sahagún (Córdoba) en 1953 y lleva el nombre de Abelardo Gabriel de la Espriella Juris. El presidente nació en Bogotá el 31 de julio de 1978 y su segundo apellido es Otero. Su padre, en cambio, sí es abogado nacido en Sahagún. Todo indica que el vendedor buscó por nombre y se quedó con el primer resultado. Eso sugiere que tiene una herramienta para consultar personas, no necesariamente la base completa que dice vender.

2. Los datos de Gustavo Petro ya eran públicos. La ficha del expresidente dice que nació en Zipaquirá. Es lo que figura en su documento, pero se sabe desde 2022: ese año, el entonces senador Jorge Enrique Robledo publicó una copia de su cédula y de su registro civil, y Semana obtuvo el certificado que lo registra en la Notaría 1 de Zipaquirá. Esa muestra no demuestra un acceso nuevo.

3. La cifra calca el censo electoral. El vendedor dice tener 41.415.693 registros. Para las presidenciales de 2026, la Registraduría informó que 41.421.973 personas estaban habilitadas para votar. La diferencia es de 6.280. Puede significar que los datos salen de un sistema ligado al censo, o que el vendedor tomó la cifra pública para darle peso al anuncio. Su afirmación de que eso es “el 75 % del país” no cuadra con ninguna fuente.

4. El vendedor es relativamednte nuevo. La cuenta GordonFreeman1 se creó en octubre de 2026 y tiene nueve publicaciones. Varios de esos ataques a Honduras y otros a entidades colombianos.

Lo que sí es posible. 1,45 terabytes repartidos entre 41,4 millones de personas dan unos 35 kilobytes por persona. Alcanza para una foto y un par de huellas comprimidas, así que el tamaño anunciado no es absurdo. Y las fotos y huellas de personas anónimas que aparecen en el aviso no se pueden descartar como falsas solo mirando la imagen.

Por qué muestra a famosos

Los presidentes y los artistas son la vitrina del vendedor. En un foro donde abundan los anuncios inflados, poner las caras de dos presidentes, de cantantes y de un streamer sirve para tres cosas: llamar la atención de los compradores, que los medios repliquen la noticia y que el anuncio parezca más creíble de lo que es.

La jugada tiene un costo para terceros. El error con el presidente expuso los datos de su padre, una persona que no está en el cargo. Es el patrón de estas filtraciones: el daño cae sobre quien no tiene escoltas ni equipo de prensa. En el aviso, el vendedor difuminó algunas fotos y huellas de los artistas, pero dejó sin difuminar las de decenas de personas anónimas.

Qué se podría hacer con estos datos

Si el anuncio es real, el riesgo más grande no recae sobre los famosos sino sobre los 41 millones de personas restantes.

• Hacerse pasar por ti en trámites. Tu nombre, tu cédula y la fecha y lugar de expedición son justo las “preguntas de seguridad” que usan muchos bancos, operadores de celular y entidades para confirmar que eres tú. Con eso se podría intentar pedir un duplicado de tu SIM, sacar un crédito o hacer trámites a tu nombre.
  
• Estafas que suenan creíbles. Quien llama diciendo ser del banco o de la Registraduría y te recita tu fecha de expedición te genera confianza al instante.
  
• Un buscador para estafadores. Lo más peligroso del anuncio es la venta de la herramienta de consulta: en vez de una base que se pasa de mano en mano, sería un servicio para averiguar quién es cualquier persona con solo su cédula.
  
• Tu cara y tus huellas no se cambian. Una contraseña robada se cambia; tu rostro y tus huellas no. Podrían usarse para intentar engañar validaciones biométricas que no comprueban que hay una persona real frente a la cámara, o para fabricar montajes con tu cara.
  
• Contra figuras públicas. Con datos “oficiales” en la mano es más fácil fabricar documentos falsos, montar campañas de desinformación con supuestas pruebas o intentar extorsiones, y de paso exponer a sus familias.

El límite: buena parte de estos datos ya circulaba por filtraciones anteriores. Lo que haría distinto este caso, si se confirma, es la biometría y la escala: casi todo el censo electoral en un solo lugar.

¿Quién responde?

MuchoHacker le avisó a la Registraduría por X el 5 de noviembre de 2026 a las 6:45 a. m. Al cierre de este textono había respuesta. Las preguntas que siguen abiertas: si detectó accesos indebidos, si la información podría venir de un tercero que consulta sus bases y qué debe hacer la ciudadanía.

La pregunta del tercero no es menor. La Registraduría ofrece validación de identidad y biometría a bancos, notarías y otras entidades, así que una “API vulnerable” podría no ser suya sino de alguien conectado a ella.

Hay un precedente reciente. En mayo de 2025, ante un anuncio parecido sobre 14,8 millones de registros en Ecuador, el Registro Civil de ese país dijo que no detectó accesos directos a su infraestructura y que evaluaba posibles fuentes externas, como registros históricos o integraciones con terceros.

En Colombia, la ley de protección de datos (Ley 1581 de 2012) clasifica los datos biométricos como sensibles. Quien los maneja, sea la Registraduría o un contratista, debe reportar cualquier incidente a la Superintendencia de Industria y Comercio.

Qué puedes hacer tú

1. Deja de tratar la fecha de expedición como un secreto. Si alguien te llama y te la dice para “confirmar tu identidad”, eso no prueba nada. Cuelga y llama tú al número oficial.
2. Activa las alertas de tu banco por cada movimiento y por cada ingreso a tu cuenta.
3. Revisa tu historial de crédito en las centrales de riesgo cada pocos meses para detectar créditos que no pediste.
4. Si te suplantaron, actúa rápido: denuncia ante la Fiscalía, avisa a tu banco y a tu operador, y sigue nuestra guía de acción inmediata.