El mercado negro de las sábanas telefónicas exhibe las grietas del nuevo registro obligatorio de celulares en México
Imagen: AdadiaCarbon | https://www.deviantart.com/adadiacarbon
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), CompTIA Security+ ce Certification, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
La aparición de un supuesto servicio clandestino capaz de ofrecer, en cuestión de minutos, información asociada a líneas telefónicas mexicanas vuelve a poner sobre la mesa una pregunta incómoda para el Gobierno de México: ¿de qué sirve obligar a millones de ciudadanos a vincular sus números telefónicos con su identidad si el Estado y los operadores no pueden garantizar que la información asociada a las comunicaciones permanezca fuera del alcance de actores criminales?
La unidad de investigación de SILIKN detectó en un canal de Telegram la promoción de un servicio que afirma poder extraer y analizar registros de detalle de llamadas, conocidos como CDR (Call Detail Records), correspondientes a usuarios de distintos operadores móviles y operadores móviles virtuales.
De acuerdo con la oferta detectada, el supuesto operador clandestino asegura contar con información histórica de hasta seis meses y poder entregar rápidamente datos relacionados con llamadas, mensajes y sesiones de datos, así como identificadores técnicos como IMEI e IMSI y elementos de geolocalización derivados de celdas y antenas de telefonía.
El supuesto servicio también promete generar análisis sobre patrones de comunicación, contactos frecuentes, horarios de actividad y lugares de permanencia, información que, de ser auténtica y obtenida sin autorización, permitiría construir perfiles extraordinariamente invasivos sobre la vida cotidiana de una persona.
El problema no debe reducirse a la existencia de un vendedor clandestino en Telegram. Lo verdaderamente preocupante es el contraste entre este tipo de mercados ilegales y la estrategia que el Gobierno mexicano ha decidido implementar para combatir precisamente el anonimato en la telefonía móvil.
Desde el 9 de enero de 2026, los lineamientos de la Comisión Reguladora de Telecomunicaciones (CRT) establecieron que las líneas telefónicas móviles deben estar asociadas a una persona física o moral mediante un proceso de identificación. La campaña oficial “Registra tu línea” plantea que la vinculación permitirá combatir el uso de líneas anónimas en delitos como fraude, extorsión y secuestro virtual. Para las líneas de prepago, el procedimiento contempla la asociación con datos de identidad y la amenaza de suspensión del servicio en caso de incumplimiento.
La propia CRT sostiene que no está creando una base de datos gubernamental única: de acuerdo con sus lineamientos y materiales de difusión, son las compañías telefónicas las responsables de recabar, resguardar y proteger la información de sus usuarios, mientras que el Gobierno afirma que no tendrá acceso directo a esas bases. La autoridad también asegura que el proceso de vinculación utiliza el nombre y la CURP y que la información empleada durante la validación de identidad no se conserva como una base biométrica gubernamental.
Sin embargo, esa explicación no elimina el problema fundamental: la dispersión de la información entre distintos operadores tampoco constituye, por sí misma, una garantía de seguridad. La protección efectiva depende de controles de acceso, segregación de privilegios, monitoreo, trazabilidad, auditorías, mecanismos de detección de abuso y capacidad real para investigar y sancionar accesos indebidos. Una base distribuida puede ser menos atractiva que un repositorio centralizado, pero continúa siendo un objetivo de alto valor para delincuentes y actores internos maliciosos.
El Gobierno presenta la vinculación obligatoria como una herramienta para cerrar espacios al anonimato. Hasta el 13 de agosto, la CRT reportaba 71 millones de líneas vinculadas en todo el país, mientras que en junio había informado 63 millones. Para las líneas cuyo último dígito determina los nuevos plazos, el calendario establece fechas que se extienden de agosto a diciembre de 2026; una vez vencido el plazo correspondiente, las compañías pueden suspender temporalmente el servicio dentro de las siguientes 72 horas.
El dato puede presentarse como un avance administrativo, pero no demuestra que la política esté cumpliendo su objetivo criminal. Registrar más líneas no equivale automáticamente a reducir extorsiones, secuestros o fraudes, y el Gobierno tendría que demostrar con indicadores independientes que la medida produce una reducción efectiva de esos delitos y no simplemente un incremento en el volumen de información personal vinculada a los usuarios.
México ya tiene, de hecho, un antecedente que debería obligar a una evaluación mucho más rigurosa antes de presentar el nuevo esquema como una solución definitiva. El Registro Nacional de Usuarios de Telefonía Móvil, RENAUT, fue creado con un propósito semejante: asociar las líneas telefónicas con la identidad de sus usuarios para contribuir al combate de delitos como extorsión y secuestro.
Sin embargo, el sistema terminó convertido en un ejemplo de las consecuencias que puede tener una política de identificación cuando la arquitectura de seguridad, la calidad de los datos y los controles institucionales no están a la altura del objetivo. Documentos legislativos de la época registraron problemas de implementación, registros falsos y serias dudas sobre la confiabilidad del padrón.
Más grave aún, información vinculada con el RENAUT llegó a ser ofrecida en Internet, una situación que fue denunciada públicamente desde 2010 por legisladores, quienes advirtieron que el acceso ilícito a esos datos podía poner en riesgo la privacidad y seguridad de los mexicanos. Posteriormente, el registro fue desmantelado.
Documentación oficial y parlamentaria ha señalado que el RENAUT resultó ineficaz para alcanzar sus objetivos y que su base de datos fue filtrada y terminó siendo destruida después de que se detectaran deficiencias y riesgos asociados con su operación. El antecedente resulta particularmente incómodo para la actual administración porque demuestra que la identificación obligatoria de líneas no es una estrategia nueva y que México ya experimentó los costos de construir sistemas de este tipo sin resolver adecuadamente el problema de fondo.
La historia volvió a repetirse con el Padrón Nacional de Usuarios de Telefonía Móvil, PANAUT. Aquella iniciativa buscaba crear un registro obligatorio que incluso contemplaba datos biométricos. La Suprema Corte de Justicia de la Nación invalidó el sistema normativo al considerar que afectaba derechos fundamentales relacionados con la privacidad, la intimidad y la protección de datos personales.
La documentación vinculada con esa resolución también recuperó el caso RENAUT como ejemplo de los riesgos que implica concentrar información sensible bajo el argumento de que una mayor cantidad de datos necesariamente produce mayor seguridad.
El nuevo esquema de la CRT pretende diferenciarse de aquellos modelos al evitar, al menos formalmente, una base gubernamental única. Pero esa diferencia no debería utilizarse como argumento para cerrar el debate. El hecho de que la información permanezca bajo custodia de las compañías telefónicas no elimina los riesgos de filtración, abuso interno, accesos indebidos, ingeniería social, ataques contra sistemas de autenticación o explotación de interfaces utilizadas para intercambiar información con autoridades.
La propia consulta pública de los lineamientos de la CRT recibió comentarios relacionados con la validación de identidad, los documentos requeridos, la privacidad y la seguridad de los datos, lo que demuestra que estas preocupaciones no son nuevas ni marginales.
En este contexto, la existencia de ofertas clandestinas de supuestos CDR debería servir como una prueba de estrés para la política pública y no como una justificación automática para exigir todavía más información a los ciudadanos. Si un actor criminal realmente puede obtener en minutos registros capaces de revelar redes de contacto, horarios, dispositivos y patrones de movilidad, el problema central no es únicamente saber a nombre de quién está registrada una línea: es determinar quién puede acceder a los datos generados por esa línea, bajo qué circunstancias, con qué autorización, mediante qué sistemas, durante cuánto tiempo y con qué mecanismos de auditoría.
La capacidad de identificar al titular de un teléfono no impide que un delincuente utilice una línea registrada a nombre de un tercero, suplante una identidad, consiga acceso ilegítimo a información de telecomunicaciones o explote vulnerabilidades dentro de la cadena de proveedores y autoridades.
La propia experiencia legislativa mexicana ya había advertido sobre este punto. Durante la discusión del RENAUT se documentó que existían registros falsos y prácticas destinadas a eludir la identificación real de los usuarios. Por ello, asumir que vincular una CURP con un número telefónico eliminará el anonimato criminal constituye, cuando menos, una simplificación peligrosa.
Los delincuentes pueden adaptarse a los controles, utilizar identidades de terceros, recurrir a mecanismos de suplantación o migrar hacia otros canales de comunicación. La seguridad pública no se obtiene acumulando datos indiscriminadamente, sino desarrollando capacidades de inteligencia, investigación financiera, análisis de redes criminales, persecución judicial y protección efectiva de las infraestructuras que generan y almacenan información sensible.
El episodio también expone una contradicción política. Mientras el Gobierno mexicano solicita a millones de ciudadanos entregar información de identidad para cerrar el supuesto espacio de anonimato utilizado por delincuentes, en el mercado clandestino aparecen ofertas que aseguran poder revelar información mucho más sensible que la simple titularidad de una línea: con quién se comunica una persona, cuándo lo hace, desde qué dispositivos y, potencialmente, desde qué lugares.
La brecha entre ambas realidades debería provocar una auditoría independiente y pública de los controles de seguridad de los operadores y de los mecanismos mediante los cuales las autoridades solicitan y reciben información de telecomunicaciones. No basta con afirmar que los datos están protegidos; es necesario demostrarlo.
También resulta preocupante que la respuesta gubernamental se concentre en trasladar parte de la responsabilidad de la seguridad al ciudadano. La suspensión de una línea por no realizar la vinculación convierte el cumplimiento de una obligación administrativa en una condición para conservar el acceso ordinario a un servicio esencial de comunicación. La CRT confirma que las líneas no vinculadas son susceptibles de suspensión temporal y que su reactivación depende de completar el proceso.
Esta lógica puede ser presentada como una medida de cumplimiento, pero merece ser cuestionada desde una perspectiva de proporcionalidad: si la política se justifica por su capacidad para combatir delitos graves, corresponde al Estado demostrar con evidencia que el beneficio de identificar obligatoriamente a los usuarios supera los riesgos de privacidad, seguridad y abuso derivados de la recopilación y procesamiento de esos datos.
La aparición de este supuesto mercado negro, por tanto, debería ser una llamada de atención para las autoridades mexicanas. No demuestra por sí sola que los datos ofrecidos sean auténticos ni permite determinar de dónde fueron obtenidos; tampoco prueba que exista una vulnerabilidad específica en un operador, una fiscalía o una interfaz gubernamental. Pero sí demuestra que existe un mercado dispuesto a pagar por información de telecomunicaciones y que la privacidad de los usuarios tiene un valor criminal considerable.
Frente a ello, el Gobierno no debería limitarse a promover campañas de registro y contabilizar millones de líneas vinculadas. Debería explicar públicamente qué controles existen para impedir accesos indebidos, cuántos incidentes de seguridad se han detectado, cuántas solicitudes de información de telecomunicaciones se realizan, cómo se auditan, qué sanciones se aplican cuando un empleado o tercero abusa de sus privilegios y qué mecanismos existen para que un ciudadano pueda saber si sus datos fueron consultados ilegalmente.
La lección de RENAUT y PANAUT es clara: más datos no significan automáticamente más seguridad. México ya tuvo un registro obligatorio que terminó cuestionado por su ineficacia y por la exposición de información personal, y posteriormente tuvo un padrón que fue invalidado por la Suprema Corte por vulneraciones a derechos fundamentales. Repetir la fórmula con una arquitectura distinta no debería eximir al Estado de demostrar que aprendió de esos errores.
Si el Gobierno realmente pretende combatir la extorsión y otros delitos cometidos mediante teléfonos celulares, el indicador de éxito no debería ser cuántas CURP fueron asociadas a números telefónicos, sino cuánto disminuyó el delito, cuántas investigaciones llegaron a resultados judiciales y, sobre todo, si consiguió hacerlo sin convertir los datos personales y de telecomunicaciones de millones de mexicanos en otro objetivo atractivo para el mercado criminal.
La ciudadanía, mientras tanto, debe asumir que su número telefónico ya no es únicamente un mecanismo de comunicación: está cada vez más conectado con su identidad y, potencialmente, con una extensa huella digital y de movilidad. La respuesta no puede ser generar miedo ni alimentar ofertas clandestinas, sino exigir transparencia, auditorías independientes, controles de acceso estrictos y rendición de cuentas.
El verdadero desafío para el Gobierno de México no es saber quién posee cada teléfono; es demostrar que, una vez que esa información existe, nadie que no tenga autorización legítima puede convertir la vida privada de millones de mexicanos en una mercancía.
Para más información, visita: https://www.silikn.net/