La Agencia abrió de oficio el expediente 425-09-2026 y señaló que todavía no puede determinar de qué entidad provendría la información divulgada.
La Agencia de Protección de Datos de los Habitantes (Prodhab) informó la apertura de una investigación de oficio por la posible exposición de datos personales en la dark web, luego de recibir información técnica de la Dirección Nacional de Ciberseguridad del Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt).
La Prodhab señaló que el lunes 14 de septiembre solicitó información a la Dirección Nacional de Ciberseguridad y posteriormente recibió un primer informe técnico elaborado a partir del análisis de la actividad detectada en la dark web.
Con esos insumos, la Agencia abrió el miércoles 16 de septiembre el expediente 425-09-2026 y realizó un requerimiento formal de información para continuar con las diligencias.
Según la Prodhab, la información disponible todavía no permite determinar de manera definitiva de dónde provendría la información divulgada ni atribuirla a una entidad específica. Para establecerlo deberán concluir los análisis técnicos y forenses correspondientes.
La investigación administrativa busca determinar las circunstancias relacionadas con el eventual tratamiento de los datos personales y establecer si existió algún incumplimiento de la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales (Ley 8968) y su reglamento.
La Agencia indicó además que el caso también está siendo investigado por autoridades judiciales en el ámbito penal, sin precisar cuáles diligencias se encuentran en curso.
Mientras avanzan las investigaciones, la Prodhab recomendó mantenerse alerta ante comunicaciones inesperadas, intentos de suplantación de identidad y llamadas, mensajes o correos que soliciten información personal o financiera. También aconsejó evitar enlaces y archivos de procedencia desconocida.
La Agencia recomendó utilizar contraseñas distintas y robustas para cada servicio, activar la autenticación multifactor cuando esté disponible y revisar periódicamente los ajustes de privacidad de cuentas, aplicaciones y dispositivos.
Las personas que consideren que sus datos personales fueron tratados en contra de la normativa pueden presentar una denuncia mediante los canales disponibles en el sitio web de la Prodhab o comunicarse al 2234-0189.
Origen de los datos continúa sin determinarse
El caso comenzó el pasado fin de semana, cuando un actor de amenaza aseguró en el foro DarkForums haber vulnerado una agencia de información crediticia de Costa Rica y obtenido millones de registros con información personal, financiera, laboral y judicial.
El usuario, identificado como “jarol1488”, publicó el anuncio el 13 de septiembre. Entre las bases que asegura poseer enumeró 374,6 millones de registros salariales, 21,8 millones de registros de direcciones, 18,74 millones relacionados con procesos judiciales, 13,45 millones de registros telefónicos y 3,31 millones de fotografías, entre otras categorías.
Esas cantidades corresponden al número de registros que el supuesto responsable asegura tener y no equivalen al número de personas afectadas: una misma persona podría aparecer repetidamente dentro de una base o estar incluida en varios conjuntos de información.
El experto en ciberseguridad Esteban Jiménez, quien ha analizado muestras de los archivos divulgados, señaló esta semana como hipótesis que la información podría provenir de un buró de crédito. Jiménez también compartió datos de su análisis con las autoridades costarricenses.
El Micitt informó el lunes que abrió una investigación para verificar la autenticidad de la información, establecer su posible procedencia y determinar su alcance. La institución recalcó que todavía no existe confirmación oficial de que los archivos correspondan a una filtración reciente ni de que alguna institución costarricense haya sufrido una vulneración relacionada con el material divulgado.
Por su parte, el Banco Central de Costa Rica (BCCR) descartó una vulneración de sus sistemas y señaló que no existe sustento técnico para atribuir la información al Registro de Transparencia y Beneficiarios Finales (RTBF), luego de que surgieran versiones que relacionaban parte del material divulgado con esa base de datos.