El Padrón del Desastre: Cuando la incompetencia técnica desnuda al ciudadano

Existe una máxima en la gestión de proyectos, tanto en la ingeniería como en la política pública, que rara vez falla: una mala idea con una pobre ejecución es la receta perfecta para el desastre.

Lo que estamos viviendo en México en este arranque de 2026 no es un accidente fortuito ni una sorpresa impredecible; es la crónica de una catástrofe anunciada. Hace apenas unos meses, bajo la bandera de la seguridad nacional y el combate a la extorsión, se aprobó una reforma que muchos advertimos sería tóxica. Me refiero a la nueva Ley en Materia de Telecomunicaciones y Radiodifusión, publicada el 16 de julio de 2025, la cual dio vida al nuevo registro obligatorio de usuarios de telefonía móvil.

La premisa gubernamental era seductora en el papel pero draconiana en la práctica: construir un padrón exhaustivo que vinculara nuestra identidad biológica y legal con nuestra línea telefónica. Sin embargo, muchas preguntas quedaron flotando en el aire viciado de la retórica política: ¿Quién va a proteger esta base de datos que contiene los metadatos de nuestras vidas? ¿Cómo será usada realmente? ¿Quién tendrá acceso? Y la más inquietante de todas: ¿Cómo podré saber yo, como ciudadano, quién y cómo usan mis datos?

Hoy, lamentablemente, tenemos las respuestas. Y son aterradoras.

La terquedad histórica y el rechazo ciudadano

La idea de tener un padrón de usuarios de telefonía no es nueva en México; es una obsesión cíclica del Estado. Ya tropezamos con esta piedra en 2009 con el fallido RENAUT de la administración de Felipe Calderón, que terminó con la base de datos vendiéndose en el mercado negro de Tepito por centavos, y donde, irónicamente, el propio presidente aparecía registrado con miles de líneas. Volvimos a tropezar en 2021 con el PANAUT, un intento aún más agresivo que exigía biométricos y que, afortunadamente, fue frenado y declarado inconstitucional por la Suprema Corte en 2022.

La baja participación de la población en este nuevo intento de 2026 no es desidia; es un acto de defensa propia. Es el reflejo del rechazo a una fiscalización intrusiva en la privacidad de la ciudadanía. La gente intuye que entregar sus datos al Estado —o a concesionarios obligados por el Estado— no les garantiza seguridad, sino que los pone en una vitrina para ser vigilados o, peor aún, comercializados.

La ejecución de Telcel : "Vibe Coding" y negligencia

Pero si la idea legislativa ya era mala por su naturaleza invasiva, la ejecución técnica que vimos este enero fue, por decirlo suavemente, criminalmente descuidada.

Para "amargar más el trago", la implementación que Telcel —el operador dominante con más de 80 millones de líneas— desplegó para generar este padrón fue un insulto a las prácticas más básicas de ciberseguridad. El pasado 9 de enero de 2026, día cero del registro obligatorio, su infraestructura digital colapsó no por saturación, sino por incompetencia.

Debo confesar algo: al no estar personalmente afecto por esta ley en mi línea principal, no le puse mucha atención inicial. Sin embargo, participo activamente en varios foros de ciberseguridad y tecnología —algunos poblados por gente altamente calificada, "White Hats" éticos, y otros por entusiastas con mucho tiempo libre—. Lo que vi en esos espacios fue alarmante.

No se necesitaban herramientas de la NSA ni hackers rusos para vulnerar el sistema. Con un poco de ganas y conocimientos básicos de desarrollo web, cualquiera pudo explotar la vulnerabilidad. Lo que los reportes periodísticos y los análisis forenses independientes revelaron fue una arquitectura de software hecha al vapor, lo que en el argot de los desarrolladores llamamos "vibe coding": programar por intuición, sin pruebas de estrés, sin auditorías de seguridad y esperando que "la buena vibra" mantenga el servidor seguro.

Anatomía de una filtración: La "Llave Maestra" expuesta

El error fue tan elemental que duele explicarlo. La vulnerabilidad residía en la API de elegibilidad. Cuando un usuario (o un atacante) ingresaba un número celular en el formulario web para consultar si debía registrarse, el servidor no respondía con un simple "SÍ" o "NO".

En su lugar, el servidor ("Backend") devolvía un objeto JSON (un formato de texto plano usado para intercambio de datos) que contenía la ficha completa del cliente.

Cualquiera que supiera abrir la consola de desarrollador de su navegador podía ver, en texto claro:

Esto no es una simple filtración de un número telefónico. Al exponer el RFC y la CURP junto al nombre y el teléfono, Telcel entregó la "llave maestra" para la suplantación de identidad. Con estos datos, un criminal puede realizar trámites bancarios, solicitar créditos a nombre de la víctima, acceder a portales gubernamentales (como el SAT) o ejecutar ataques de SIM Swapping (secuestro de línea) con una facilidad pasmosa.

Lo más irónico y trágico es que esta ley se vendió como una herramienta para evitar la extorsión. El resultado es diametralmente opuesto: ahora los extorsionadores tienen un directorio validado, actualizado y gratuito para realizar llamadas con "precisión quirúrgica", citando el nombre completo y datos fiscales de la víctima para sembrar el terror.

Incluso después de que el escándalo estalló en redes sociales y medios independientes, la respuesta técnica fue un parche cosmético en la interfaz visual (Frontend), dejando los puntos de acceso del servidor expuestos durante horas. Fue una negligencia sostenida.

La punta del iceberg: ¿Quién vigila al custodio?

Este incidente con Telcel debe encender todas las alarmas rojas en el tablero nacional. No podemos verlo como un hecho aislado de una empresa privada; es la punta del iceberg de un problema sistémico en la infraestructura digital del Estado mexicano y sus concesionarios.

Si el operador de telecomunicaciones más grande y rico de América Latina, con recursos teóricamente ilimitados, no pudo proteger una API básica en el día uno de un mandato legal, ¿qué podemos esperar de los proyectos que gestiona directamente el gobierno?

Me refiero a iniciativas mucho más sensibles que ya están en marcha o en planeación:

La lección brutal del registro telefónico de 2026 es que la capacidad regulatoria del Estado para exigir datos es inversamente proporcional a su capacidad técnica para protegerlos. Estamos construyendo repositorios de información ("honeypots") que son irresistibles para el cibercrimen, sin tener los cerrojos necesarios.

¿Quién vigila a quien nos vigila?

La pregunta fundamental en una democracia digital es: ¿Quién vigila a quien nos vigila y fiscaliza?

Hoy, la respuesta parece ser "nadie". O peor aún, "nosotros mismos, cuando ya es demasiado tarde". Los organismos autónomos que debían servir de contrapeso, como el INAI (ahora absorbido en funciones por la Secretaría Anticorrupción), enfrentan retos políticos que diluyen su capacidad de sanción inmediata ante monstruos corporativos o gubernamentales.

La filtración de Telcel demostró que la "muerte civil digital" —la amenaza de desconectar a quien no se registre— es una coacción que pone al ciudadano entre la espada y la pared: o entregas tu privacidad a un sistema inseguro, o te quedas incomunicado.

Como tecnólogos, analistas y ciudadanos, no podemos normalizar la incompetencia. Una mala idea (el registro masivo indiscriminado) ejecutada con las patas (vulnerabilidades básicas de API) no es "transformación digital", es negligencia sistémica.

Si no exigimos auditorías externas, reales y públicas; si no hay consecuencias legales devastadoras para las empresas y funcionarios que exponen nuestros datos; entonces no estamos viviendo en una sociedad de la información, sino en una sociedad de la exposición.

El registro de 2026 ya falló en su promesa de seguridad. Lo único que ha logrado con éxito es demostrar cuán frágiles somos cuando el Estado decide vigilarnos sin saber cómo cuidarnos.