Source: Deutsche Nachrichten
Seiscientos millones de registros y una pregunta que todavía no tiene respuesta
El 19 de diciembre de 2025, el sitio Daily Dark Web reportó la publicación, en foros de la dark web, de más de un terabyte de información que incluiría datos personales de ciudadanos argentinos: registros que se atribuyeron a la ARCA (ex AFIP), al Registro Nacional de la Propiedad del Automotor, a la ANSES y a empresas de telefonía, en un volumen que distintas coberturas periodísticas estimaron en cientos de millones de registros. Ese mismo día, la Agencia de Acceso a la Información Pública (AAIP) inició una investigación de oficio, invocando la Ley 25.326 de Protección de Datos Personales y el Convenio 108+ del Consejo de Europa —que Argentina ratificó en abril de 2023, siendo el segundo país de América Latina en hacerlo después de Uruguay—, con el objetivo declarado de identificar a los responsables del tratamiento de los datos comprometidos y las bases de datos involucradas. La ARCA, por su parte, emitió un comunicado negando que sus propios sistemas hubieran sido vulnerados.
Frente a un hecho de esta escala, la primera pregunta que suele hacerse cualquier área de Seguridad o de Sistemas es técnica: qué firewall falló, qué vulnerabilidad se explotó, qué actor externo lo hizo. La investigación en curso, sin embargo, apunta en una dirección distinta, y ahí es donde el caso se vuelve relevante más allá de la coyuntura: el rastro de los datos llevó, según reportaron distintos medios, a una empresa —Work Management— vinculada a otra, SudamericaData, que ya había estado en el centro de una causa judicial por espionaje ilegal.
Una empresa que la Justicia ya había puesto bajo la lupa
SudamericaData fue fundada a fines de 2020 por Mario Fernando Ares, ingeniero y ex funcionario de la AFIP, junto con Silvia Gladis Duarte. Según reconstruyó la prensa a partir de la causa judicial, la empresa recopilaba y comercializaba información personal proveniente de fuentes que describía como públicas, y quedó en el centro de una investigación por espionaje ilegal a jueces, funcionarios y periodistas: el fiscal Gerardo Pollicita reveló comunicaciones entre Ariel Zanchetta —expolicía señalado como agente de inteligencia y ya detenido en esa causa— y un entonces subdirector de la AFIP, en las que Zanchetta habría utilizado registros de SudamericaData para identificar a más de 2.000 personas. A partir de esa investigación, en noviembre de 2023 la actividad original de SudamericaData quedó discontinuada.
Según reportó la prensa a partir de la nueva filtración de diciembre de 2025, de esa misma estructura habría surgido Work Management, una empresa que ofrecía un servicio equivalente —consolidar y vender información personal— y que, de acuerdo con la investigación de la AAIP, sigue bajo análisis por el modo en que habría obtenido bases de datos de organismos como ANSES, el Registro Automotor y, según algunas coberturas, el BCRA. Mario Ares, al ser consultado, presentó una versión distinta: sostuvo ante la Justicia que los archivos filtrados no corresponden a servidores de Work Management, y atribuyó una eventual exposición de datos a una vulnerabilidad temporal ocurrida durante la instalación de un firewall, no a una falla estructural de sus bases. Ares radicó una denuncia propia, que tras una cuestión de competencia terminó en el Juzgado Federal N° 7 de Comodoro Py, a cargo del juez Sebastián Casanello, donde la causa continúa bajo investigación, sin que exista, al momento de escribir este artículo, una atribución judicial firme sobre el origen exacto de los datos filtrados ni una condena en ninguna de las causas mencionadas.
Por qué esto no es, en el fondo, una historia de hackers
Más allá de cómo termine de esclarecerse el origen puntual de la filtración de diciembre, el caso ilustra algo que rara vez ocupa el centro de la conversación sobre ciberseguridad: la propia versión de la empresa señalada —una vulnerabilidad durante la instalación de un firewall— describe, en el mejor de los casos para esa empresa, una falla de gestión del cambio, no un ataque de un actor sofisticado que hubiera vulnerado una defensa robusta. Y la explicación alternativa que investiga la AAIP —una empresa que, según se investiga, habría seguido operando bajo otra razón social después de que su actividad original quedara discontinuada por una causa judicial de espionaje— tampoco es un problema de cifrado o de arquitectura de red: es un problema de que alguien, en algún punto de la cadena, siguió teniendo acceso a información que ya había sido objeto de un cuestionamiento judicial serio, y de que ese acceso no se cortó de manera efectiva. Ninguna de las dos hipótesis —la que sostiene la empresa investigada y la que investiga la AAIP— describe, hasta ahora, un exploit de día cero. Ambas describen, en cambio, decisiones humanas: quién gestionó un cambio técnico, quién mantuvo o reactivó el acceso a una base de datos, quién decidió seguir operando un negocio ya señalado por la Justicia.
Lo que la ley argentina exige, y lo que todavía es solo una guía
La Ley 25.326, en su artículo 9, impone a quien trata datos personales —sea un organismo público o una empresa privada— la obligación legal de adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de esos datos, y de evitar su alteración, pérdida, tratamiento o acceso no autorizado. La Resolución 47/2018 de la AAIP desarrolla, con mayor detalle técnico, las medidas de seguridad recomendadas para cumplir con esa obligación, aunque su carácter es el de una guía de buenas prácticas que instrumenta un deber legal preexistente, no una norma que por sí sola cree nuevas obligaciones. Distinto es el caso de la Disposición 3/2023 de la AAIP, que establece una guía de notificación y gestión de incidentes de ciberseguridad con un plazo de 48 horas para reportar un incidente: esa guía, basada en estándares internacionales como NIST, ISO e ITU, alcanza expresamente solo a organismos públicos, y la propia AAIP la define como un lineamiento orientador y no como una obligación legal de notificación de aplicación general. Existe, además, un proyecto de ley de protección de datos personales que impondría, de aprobarse, una obligación legal de notificación en 72 horas extendida a un universo más amplio de responsables; mientras ese proyecto no se convierta en ley, esa obligación no rige todavía en Argentina. En el plano penal, el artículo 157 bis del Código Penal castiga con prisión de uno a dos años a quien accede ilegítimamente a un banco de datos personales violando sistemas de confidencialidad y seguridad, o a quien revela o inserta datos de manera ilegítima en un archivo de datos personales —la norma que, en definitiva, resultará relevante para establecer responsabilidades penales una vez que la investigación judicial avance.
Conviene señalar, además, un principio de la Ley 25.326 que este caso pone en primer plano: que una empresa describa su fuente de datos como “información pública” no la exime de las exigencias de finalidad, proporcionalidad y calidad del dato que la ley impone a cualquier tratamiento de datos personales. Que un dato pueda encontrarse, agregarse o comprarse no significa que cualquier uso posterior de esa información sea automáticamente apropiado, y esa distinción es, en gran medida, lo que la investigación de la AAIP busca esclarecer respecto de cómo se conformaron las bases de datos en cuestión.
La pregunta que le queda a cualquier organización, no solo a la investigada
Human Risk Management, entendido como la gestión estructurada del riesgo asociado a personas, funciones, accesos y decisiones, es relevante acá no porque el caso involucre a Validato ni a ninguna empresa que contrate sus servicios —no hay evidencia de vínculo alguno entre la compañía y los hechos investigados—, sino porque el caso vuelve a mostrar algo que cualquier área de RR.HH., Compliance o Seguridad debería tomar como propio: la mayoría de los incidentes de exposición de datos no se originan en un atacante externo excepcionalmente sofisticado, sino en decisiones humanas sobre quién tiene acceso a qué información, quién gestiona un cambio técnico sin el control adecuado, o quién mantiene una relación comercial con un proveedor de datos sin revisar su historial. “Lo conocemos hace años, siempre trabajamos así” es una frase que puede aplicarse tanto a un proveedor de tecnología como a un vínculo comercial con una empresa de información: en ambos casos, la pregunta que la organización debería hacerse no es solo qué garantías técnicas ofrece ese proveedor, sino qué antecedentes tiene y quién, dentro de la propia empresa, revisó esos antecedentes antes de habilitarlo. Validato, compañía especializada en Background Screening y Human Risk Management con operación en Argentina, describe sus procesos de verificación como estructurados en función del rol y el nivel de riesgo de cada vínculo, un criterio de proporcionalidad aplicable, en términos generales, a la evaluación de terceros que manejan información sensible, sin que esto implique participación alguna de la compañía en los hechos investigados por la AAIP.
Lo que esta investigación deja, más allá de cómo termine
La causa que instruye el juez Casanello y la investigación de oficio de la AAIP todavía no tienen resolución, y este artículo no puede ni debe anticiparla. Lo que sí puede decirse, con la evidencia disponible hasta ahora, es que ninguna de las versiones en danza describe un ataque que ninguna organización pudiera haber previsto: describen, en cambio, una cadena de decisiones humanas —sobre accesos, sobre proveedores, sobre continuidad de negocios ya cuestionados judicialmente— que ninguna tecnología de cifrado, por sí sola, hubiera podido corregir. Para Recursos Humanos, Compliance, Legal y Seguridad, la pregunta que este caso deja no es solo si los sistemas de la organización están protegidos, sino si alguien, dentro de la empresa, tiene la responsabilidad explícita de revisar quién custodia los datos de terceros y qué antecedentes tiene esa contraparte antes de que un incidente obligue a hacerlo bajo presión.
Fuentes y marco normativo consultado
– Agencia de Acceso a la Información Pública (AAIP), “La AAIP inició una investigación de oficio ante presunta filtración masiva de datos personales” (19/12/2025): https://www.argentina.gob.ar/noticias/la-aaip-inicio-una-investigacion-de-oficio-ante-presunta-filtracion-masiva-de-datos
– Infobae, “Denuncian una masiva filtración de datos personales de ciudadanos argentinos en la dark web” (19/12/2025): https://www.infobae.com/politica/2025/12/19/denuncian-una-masiva-filtracion-de-datos-personales-de-ciudadanos-argentinos-en-la-dark-web/
– Infobae, “SudamericaData, la misteriosa página que usaban para investigar las fuerzas de seguridad y cayó por el espionaje ilegal a los jueces” (12/11/2023): https://www.infobae.com/judiciales/2023/11/12/sudamericadata-la-misteriosa-pagina-que-usaban-para-investigar-las-fuerzas-de-seguridad-y-cayo-por-el-espionaje-ilegal-a-los-jueces/
– Infobae, “Masiva filtración de datos: el contraataque de la empresa hackeada llegó a Comodoro Py” (11/1/2026), sobre la causa ante el Juzgado Federal N° 7 (juez Sebastián Casanello): https://www.infobae.com/judiciales/2026/01/11/masiva-filtracion-de-datos-el-contraataque-de-la-empresa-hackeada-llego-a-comodoro-py/
– La Nación, “Denuncian una filtración masiva de datos de AFIP, Anses, registro automotor y telefonía que tenía la compañía SudamericaData” (19/12/2025): https://www.lanacion.com.ar/tecnologia/la-mas-grande-del-pais-denuncian-una-filtracion-masiva-de-datos-de-ciudadanos-argentinos-nid19122025/
– Ley 25.326, de Protección de Datos Personales, art. 9 (seguridad y confidencialidad de los datos)
– Agencia de Acceso a la Información Pública, Resolución 47/2018 (medidas de seguridad recomendadas): https://www.argentina.gob.ar/normativa/nacional/resoluci%C3%B3n-47-2018-312662/texto
– Agencia de Acceso a la Información Pública, Disposición 3/2023 (4/7/2023), Guía de notificación y gestión de incidentes de ciberseguridad para organismos públicos (plazo de 48 horas; alcanza solo a organismos públicos)
– Código Penal argentino, art. 157 bis (incorporado por Ley 26.388), acceso ilegítimo, revelación o inserción de datos en un banco de datos personales
– Convenio 108+ del Consejo de Europa, ratificado por Argentina en abril de 2023
– Validato, descripción de servicios de Background Screening y Human Risk Management estructurados por rol en Argentina: https://validato.ch/ar-en/human-risk