¿Filtración de datos del Registro Civil? Esto es lo que debes saber y cómo protegerte

¿Qué pasó?

El 4 de mayo de 2026, la plataforma VECERT Analyzer reportó una posible exposición de hasta 14,8 millones de registros del Registro Civil de Ecuador y 10,6 millones de imágenes de cédulas. Según la alerta, los datos incluirían información de identificación personal —nombres, fechas de nacimiento, firmas— y huellas dactilares.

En un comunicado del 5 de mayo de 2026, el Registro Civil indicó que no detectó un ataque a “su sistema actual” y que los datos en circulación no provendrían directamente de su infraestructura. El calificador “sistema actual” es relevante: no descarta que sistemas anteriores o proveedores externos estén involucrados.

🔴 COMUNICADO OFICIAL

Registro Civil del Ecuador mantiene activo protocolos de seguridad de la información. https://t.co/xCO63p7Jk4 pic.twitter.com/M0dnurgDzi

— Registro Civil Ecuador 🇪🇨 (@RegistroCivilec) May 5, 2026

¿Cómo debe tomarse esta alerta?

Una alerta de VECERT Analyzer no equivale a una confirmación de hackeo. Ximena Cuzcano, investigadora de la ONG Derechos Digitales, señala que los datos reportados pueden ser antiguos, proceder de terceros o no haber sido verificados en su totalidad.

VECERT Analyzer es una plataforma estadounidense que monitorea internet, incluida la dark web, en busca de bases de datos expuestas. La misma plataforma emitió alertas previas sobre la Agencia Nacional de Tránsito (ANT) y el Banco de Machala. No hay información pública disponible sobre si esas alertas fueron confirmadas o descartadas, dato necesario para evaluar el historial de precisión de la plataforma.

¿Hay datos biométricos comprometidos?

El Registro Civil no ha confirmado que los datos expuestos incluyan biometría activa. VECERT Analyzer afirma que sí estarían comprometidos datos biométricos como huellas dactilares, pero ninguna entidad oficial ecuatoriana ha corroborado esta afirmación. Organizaciones como Usuarios Digitales, coinciden con la filtración de datos publicada por VECERT y replicaron esta y alertas anteriores de filtraciones de datos en 2024.

La distinción es importante: una contraseña filtrada puede cambiarse; una huella dactilar o imagen facial registrada, no. Si los datos biométricos están efectivamente expuestos, el riesgo no se limita al momento actual sino que se extiende a cualquier sistema que use esos datos para verificar identidad.

🚨 CRITICAL CYBERINTELLIGENCE ALERT: MASSIVE NATIONAL IDENTITY BREACH – DIGERCIC ECUADOR 🇪🇨👤📂🔓 [STATUS: EXTREME THREAT]

A catastrophic compromise has been detected within the infrastructure of Ecuador's General Directorate of Civil Registry, Identification, and Cedulation… pic.twitter.com/GynZ694bnY

— VECERT Analyzer (@VECERTRadar) May 5, 2026

¿Qué podrían hacer con tus datos?

Alejandro Varas y Diana Maldonado, especialistas en ciberseguridad, señalan que con acceso a número de cédula e imagen del rostro es posible:

• Suplantar la identidad de una persona ante instituciones financieras o aplicaciones digitales.
• Intentar obtener créditos o realizar transacciones a nombre de la víctima.
• Engañar sistemas de verificación por reconocimiento facial.
• Generar materiales audiovisuales falsos (deepfakes) con datos reales.

Qué puedes hacer

Para evitar estafas:

• No respondas llamadas de números desconocidos. El origen local o extranjero del número no es un indicador confiable de fraude.
• No abras enlaces recibidos por SMS o correo sin verificar el remitente por un canal oficial.
• Desconfía de mensajes que incluyan tus datos personales: eso no los hace legítimos.
• No compartas imágenes de tu cédula por canales no seguros.

Para proteger tu dinero:

• Revisa tus estados de cuenta con regularidad.
• Activa las alertas de transacciones en tu banco.
• Reporta cualquier movimiento o crédito que no hayas autorizado.

Para proteger tus cuentas:

• Cambia tus contraseñas, especialmente en servicios financieros y correo electrónico.
• No uses la misma contraseña en distintas plataformas.
• Activa la verificación en dos pasos en todas las cuentas que lo permitan.

Si los datos ya están en circulación:

• No pueden eliminarse completamente. Lo que es posible es reducir la exposición y documentar usos indebidos.

La Ley Orgánica de Protección de Datos Personales (LOPDP) reconoce el derecho a presentar reclamaciones por uso no autorizado de datos personales. La Superintendencia de Protección de Datos Personales es la entidad competente para investigar este tipo de incidentes.