Baguio enfrenta una supuesta filtración gratuita de permisos, títulos y tarjetas de identificación

Una publicación atribuida a NOTORIOUS asegura haber liberado gratis 3,23 GB de archivos del gobierno de Baguio, Filipinas. La denuncia incluye permisos, licencias profesionales, fotografías, títulos de propiedad y datos de proyectos, pero no ha sido verificada de forma independiente. La ciudad sí informó posteriormente de un incidente de seguridad reportado, sin confirmar que corresponda a esta publicación.
***

• La publicación afirma que contiene 3,23 GB de documentos del gobierno local de Baguio, aunque no indica cuántos registros incluye.
• Los archivos supuestamente combinan permisos, licencias profesionales, fotografías, firmas, títulos de propiedad, direcciones y costos de construcción.
• Dark Web Informer señala que no recuperó los archivos ni los enlazó. El Gobierno de Baguio informó de un incidente de seguridad reportado en su sistema de solicitudes de permisos, pero no confirmó públicamente que estuviera relacionado con la denuncia de NOTORIOUS.

Una publicación atribuida al actor de amenazas NOTORIOUS asegura haber liberado gratuitamente 3,23 GB de archivos pertenecientes al gobierno de la ciudad de Baguio, en Filipinas. La denuncia, observada el 27 de agosto de 2026, apunta al sector del gobierno local y menciona documentos vinculados con permisos de construcción, licencias profesionales, títulos de propiedad y tarjetas de identificación, aunque el número de registros no fue indicado.

La información no constituye una confirmación de que los archivos sean auténticos ni de que hayan sido obtenidos mediante una intrusión. Dark Web Informer, el sitio que reportó la publicación, indicó que no recuperó el material, no lo está enlazando y tampoco encontró una explicación sobre la fuente declarada o la forma en que el supuesto actor habría accedido a los documentos.

Qué afirma la publicación

Según el reporte, el conjunto ofrecido incluiría solicitudes de permisos de construcción y permisos ya emitidos por la administración de Baguio. La lista también menciona tarjetas de licencia profesional, fotografías incorporadas en esas tarjetas, números de registro, nombres de solicitantes y propietarios, además de direcciones de obras, barangays y códigos postales.

Los documentos supuestamente contienen información técnica y financiera sobre las construcciones, como la clasificación de ocupación, el alcance del trabajo y los costos totales declarados de cada proyecto. También aparecerían los nombres de los profesionales supervisores, referencias de recibos oficiales, firmas y sellos, elementos que podrían conferir apariencia de legitimidad a documentos falsificados si el material terminara circulando fuera de su contexto administrativo.

La publicación no informó cuántos registros formarían parte de los 3,23 GB ni ofreció un inventario de archivos que permitiera evaluar su alcance. El reporte tampoco describe una fuente técnica concreta, una vulnerabilidad explotada, un método de intrusión o una ruta de acceso al sistema, por lo que la cifra de volumen no permite determinar por sí sola cuántas personas estarían afectadas.

El actor habría presentado los archivos como una descarga gratuita, una modalidad que puede perseguir objetivos distintos a la extorsión convencional. En este caso, la ausencia de un precio o de una exigencia pública no demuestra que la información sea real, pero sí aumenta el riesgo de que terceros intenten redistribuir documentos personales, utilizarlos para fraude o emplearlos como señuelo para campañas maliciosas.

El riesgo de combinar datos sensibles

La particularidad más delicada de los archivos descritos es que reunirían en un mismo expediente tres categorías que normalmente pueden permanecer separadas: la identidad profesional de una persona, una propiedad asociada con su número de título y dirección, y el valor declarado de un proyecto. Esa combinación permitiría construir perfiles detallados de profesionales y propietarios, en lugar de exponer únicamente un dato aislado dentro de un registro administrativo.

Una tarjeta de licencia profesional con fotografía, número de registro, firma y sello puede ofrecer material para intentos de suplantación, especialmente cuando la identidad aparece vinculada con documentos de aprobación de obras. La denuncia sostiene que estos profesionales tienen un papel relevante en los permisos de construcción, de modo que una copia manipulada podría utilizarse para dar credibilidad a solicitudes fraudulentas o para hacerse pasar por una persona habilitada ante terceros.

Los títulos de propiedad y las direcciones de construcción plantean un riesgo adicional porque permiten asociar nombres con bienes inmuebles concretos. Cuando esa información aparece junto con costos declarados y detalles del proyecto, puede convertirse en una guía para seleccionar propiedades de alto valor, preparar engaños personalizados o identificar a personas con capacidad económica, aunque la publicación no aporta pruebas de que alguno de esos usos ya haya ocurrido.

La exposición de estos documentos también puede resultar difícil de revertir si se confirma, porque una fotografía de licencia o una referencia de título de tierras no se puede retirar por completo una vez copiada. Las autoridades podrían reemplazar credenciales o revisar trámites, pero la divulgación inicial de nombres, direcciones, firmas y números documentales seguiría representando un problema para los titulares incluidos.

Por qué la denuncia sigue sin verificar

Dark Web Informer describió la evidencia disponible como dos documentos y una cifra de tamaño, sin una lista de archivos, sin un recuento de registros y sin un relato sobre la adquisición del material. Esa base limita cualquier conclusión sobre la autenticidad, la actualidad o la integridad del supuesto conjunto, incluso si el tipo de información mencionado coincide con documentos que una oficina local podría manejar.

El reporte también señaló que la cuenta asociada con la publicación es reciente y no tiene una trayectoria comprobada. La distribución gratuita puede llamar la atención de investigadores y potenciales víctimas, pero no funciona como prueba de legitimidad, ya que los actores pueden publicar archivos falsos, incompletos o reciclados para ganar notoriedad y atraer visitas hacia alojadores externos.

La publicación habría distribuido el contenido mediante un servicio externo de alojamiento de archivos enlazado desde el foro. El análisis citado mapea de forma inferida técnicas relacionadas con la recolección de datos desde repositorios de información, el acceso a almacenamiento en la nube y la exfiltración mediante un servicio web, pero aclara que ninguna de esas rutas fue declarada expresamente por el actor.

La ciudad de Baguio sí difundió un aviso sobre un “incidente de seguridad reportado” que afectaba su sistema de servicios de solicitudes de permisos de construcción, según una publicación de la cuenta del Gobierno de Baguio (comunicado sobre el incidente de seguridad reportado). Sin embargo, ese aviso no confirma que el incidente corresponda a la publicación de NOTORIOUS, ni valida la cifra de 3,23 GB o el contenido descrito por Dark Web Informer. La falta de una vinculación oficial entre ambos hechos mantiene la denuncia específica sin verificar.

Cualquier persona que encuentre enlaces asociados debería evitar descargar o redistribuir los documentos y esperar una verificación oficial antes de tratar la denuncia como un hecho establecido.

Qué debería comprobarse ahora

La primera tarea de una investigación sería confirmar si los archivos pertenecen realmente a la administración de Baguio y si corresponden a sistemas actuales o a repositorios antiguos. Para ello sería necesario comparar metadatos, estructuras documentales, sellos, formatos de permisos y rangos de numeración con registros legítimos, sin exponer públicamente fotografías, firmas o identificadores personales durante el proceso.

También tendría que establecerse si el supuesto paquete procede de un sistema interno, de un almacén documental en la nube o de una recopilación de documentos disponibles en distintos lugares. La descripción de Dark Web Informer apunta a formularios escaneados y tarjetas de identificación agrupados en un repositorio, pero esa inferencia no demuestra que el atacante haya comprometido una infraestructura específica ni que todos los archivos provengan de una sola fuente.

Si la filtración se confirma, la ciudad tendría que evaluar qué personas aparecen en los documentos y qué medidas pueden reducir el riesgo de suplantación. Entre las acciones posibles estarían notificar a los afectados, revisar licencias y permisos potencialmente comprometidos, vigilar solicitudes anómalas y coordinar con las autoridades de protección de datos y seguridad informática, aunque la información disponible no indica que alguna de esas medidas ya se haya puesto en marcha.

El caso ilustra por qué los sistemas de permisos deben aplicar controles de acceso, segmentación y minimización de datos, incluso cuando los documentos forman parte de procesos administrativos ordinarios. Mientras no existan archivos verificables, una confirmación oficial que vincule el incidente con la publicación o evidencia técnica independiente, la supuesta filtración debe tratarse como una alegación de seguridad pendiente de comprobación y no como una exposición confirmada.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín