Ver el código de «Brecha de Datos de GOV.CO: 4.3 Millones de Registros de Ciudadanos Colombianos Expuestos por NormalLeVrai (2026)»

== Nombres Alternativos / Aliases ==

* GOV.CO 4.3M Data Breach (Por el origen de los datos)
* NormalLeVrai Data Leak (Por el actor de amenaza)
* Colombia Government Portal Exposure (Por la entidad afectada)
* Steuergeld in Deutschland 4.2M (Por el nombre del archivo filtrado)
* Colombian Citizen Data Compromise (Por la naturaleza de los datos)

----

== Fecha de Detección / Actividad ==

* Fecha de publicación en BreachForums: 26 de junio de 2026 (viernes)
* Timestamp del informe: 2026-06-26
* Origen del actor: Colombia (según el informe de amenazas)
* Estado: Confirmado (datos publicados en foros de hacking; verificación pendiente de autenticidad y alcance)

----

== Actor de Amenaza (Atribución) ==

* Nombre del Actor: NormalLeVrai
* Identidad en foros: Usuario "Immortal" en BreachForums
* Reputación: 0 (cuenta nueva o recientemente activa)
* Puntos: 405
* Vínculo Gubernamental: Ninguno
* Tipo de Actor: Ciberdelincuencia / Data broker / Leaker
* Sofisticación: MEDIA. El actor demuestra:
** Acceso a sistema gubernamental colombiano (GOV.CO)
** Capacidad de descarga masiva de datos
** Publicación en foros de hacking de alto perfil (BreachForums)
** Uso de servicios de intercambio de archivos anónimos (anonfilesnew.com)
** Presencia en redes sociales (X/Twitter)
* Motivación: Notoriedad / Extorsión potencial / Venta de datos
* Actividad previa: Menciona "¿Quieren un regreso de NormalLeVrai?", sugiriendo que el actor ha estado inactivo y esta es una reaparición

----

== Resumen Ejecutivo ==
El 26 de junio de 2026, un actor de amenazas identificado como NormalLeVrai publicó en el foro de hacking BreachForums un conjunto de datos que afirma corresponder a 4.3 millones de registros de ciudadanos colombianos extraídos de la plataforma GOV.CO (el portal oficial de servicios digitales del Estado colombiano).

=== Contexto del gobierno colombiano ===
GOV.CO es la plataforma digital oficial del Estado colombiano que permite a los ciudadanos:

* Acceder a procedimientos administrativos
* Consultar su expediente ciudadano
* Recibir notificaciones oficiales
* Gestionar documentos de forma centralizada

=== Los datos expuestos ===
Según la publicación, la filtración incluye 4,300,002 registros que contendrían:
{| class="wikitable"
!Tipo de dato
!Información expuesta (según la muestra)
|-
|Identificación
|Cédula de ciudadanía (11 dígitos)
|-
|Documento alemán
|Número de identificación alemán (DE509689857, etc.)
|-
|Nombres
|Apellidos y nombres de los individuos
|-
|Fecha de nacimiento
|Fechas en formato DD.MM.AAAA
|-
|Teléfono
|Números de teléfono con prefijo alemán (+49)
|-
|Dirección
|Direcciones completas en Alemania
|}
SERIAS INCONSISTENCIAS:

# Los datos de la muestra NO corresponden a ciudadanos colombianos, sino a ciudadanos alemanes (prefijo telefónico +49, direcciones en ciudades alemanas)
# La estructura de los datos no coincide con registros típicos de GOV.CO
# Los números de identificación (DE...) corresponden al formato alemán

=== Respuesta de la comunidad ===
{| class="wikitable"
!Usuario
!Comentario
!Fecha
|-
|Pepitocolombia
|''"La muestra no está relacionada con gov.co"''
|26 de junio
|-
|klarkkark
|''"Todos los nombres de la muestra son de Alemania"''
|28 de junio
|}
La muestra publicada NO coincide con datos de ciudadanos colombianos. Es posible que:

# Los datos sean de otra fuente, no GOV.CO
# El actor haya exagerado o tergiversado el origen de los datos
# La muestra presentada no sea representativa del conjunto completo

----

== Vector de Ataque / Método de Distribución ==

=== Método de filtración (no confirmado) ===
{| class="wikitable"
!Posible vector
!Descripción
|-
|Acceso a base de datos
|Compromiso directo de la infraestructura de GOV.CO
|-
|Credenciales robadas
|Uso de credenciales de administrador para acceder a la plataforma
|-
|Vulnerabilidad en aplicación
|Explotación de vulnerabilidad en el portal GOV.CO
|-
|Acceso a correos
|El actor afirma: ''"Pude acceder a sus bandejas de entrada de correo electrónico"''
|}

=== Infraestructura utilizada ===
{| class="wikitable"
!Componente
!Propósito
|-
|BreachForums
|Publicación de la filtración (foro de hacking)
|-
|anonfilesnew.com
|Alojamiento del archivo CSV filtrado
|-
|X/Twitter
|Perfil público del actor (<code>@NormalLeVrai</code>)
|}

=== Enlace de descarga expuesto ===
{| class="wikitable"
!Tipo
!Detalle
|-
|URL
|<code><nowiki>https://anonfilesnew.com/DjAUHP3ND8L/Steuergeld_in_Deutschland_4,2_Millionen.csv</nowiki></code>
|-
|Contenido
|Archivo CSV con 4.2 millones de registros (nombre "Steuergeld in Deutschland" - "Dinero de impuestos en Alemania")
|-
|Session ID
|<code>05309a344b0eb88776edfe3cbf42f9bffc6db898281d6a66186e8eba64f66df64f</code>
|}
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|Posible explotación de vulnerabilidad en GOV.CO
|-
|Initial Access (TA0001)
|Valid Accounts (T1078)
|Posible uso de credenciales robadas
|-
|Execution (TA0002)
|Command and Scripting Interpreter (T1059)
|Descarga masiva de datos desde la plataforma
|-
|Credential Access (TA0006)
|Credentials from Password Stores (T1555)
|Acceso a bandejas de entrada de correo electrónico (reclamado)
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Extracción de 4.3M registros de la base de datos
|-
|Collection (TA0009)
|Data from Information Repositories (T1213)
|Exfiltración de datos de la plataforma GOV.CO
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Publicación en anonfilesnew.com
|-
|Exfiltration (TA0010)
|Transfer Data to Cloud Account (T1537)
|Almacenamiento en servicio de intercambio de archivos
|-
|Impact (TA0040)
|Data Manipulation (T1565)
|Publicación de datos sensibles
|-
|Impact (TA0040)
|Financial Theft / Extortion (T1657)
|Posible intento de extorsión
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de vulnerabilidades en la plataforma GOV.CO
|-
|2. Armamento
|Preparación de herramientas para extracción de datos
|-
|3. Entrega
|Acceso a la infraestructura de GOV.CO (método desconocido)
|-
|4. Explotación
|Extracción de 4.3M registros de la base de datos
|-
|5. Instalación
|(No aplica - exfiltración directa)
|-
|6. Comando y Control
|(No aplica - exfiltración directa)
|-
|7. Acción sobre Objetivos
| - Publicación en BreachForums
- Distribución en anonfilesnew.com
- Anuncio en X/Twitter
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Volumen de datos
|MUY ALTO
|4.3 millones de registros
|-
|Sensibilidad de datos
|MUY ALTA
|Nombres, identificaciones, teléfonos, direcciones, fechas de nacimiento
|-
|Impacto en ciudadanos
|MUY ALTO
|Robo de identidad, phishing, fraude
|-
|Impacto reputacional
|MUY ALTO
|Daño a la imagen del gobierno colombiano
|-
|Veracidad
|INCIERTA
|La muestra no coincide con ciudadanos colombianos
|}

=== Consecuencias potenciales (si los datos son reales) ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Robo de identidad
|Crítica
|4.3M ciudadanos con datos personales expuestos
|-
|Phishing dirigido
|Crítica
|Estafas personalizadas usando información real
|-
|Fraude financiero
|Alta
|Uso de identificaciones para abrir cuentas fraudulentas
|-
|Suplantación de identidad
|Alta
|Uso de datos para hacerse pasar por ciudadanos
|-
|Extorsión
|Media
|Posible uso de datos para amenazar a funcionarios
|}

=== Incertidumbres críticas ===
{| class="wikitable"
!Duda
!Implicación
|-
|La muestra contiene datos alemanes
|El archivo parece ser de Alemania, no de Colombia
|-
|El nombre del archivo
|"Steuergeld in Deutschland" (Dinero de impuestos en Alemania) sugiere datos alemanes
|-
|Los comentarios en el foro
|Usuarios ya señalaron que los datos no coinciden con GOV.CO
|}
----

== Recomendaciones de Mitigación ==

=== Para el Gobierno de Colombia (GOV.CO) ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Verificar la filtración
|CRÍTICA
|Confirmar si los datos son legítimos y corresponden a GOV.CO
|-
|Auditar acceso a la base de datos
|CRÍTICA
|Revisar logs de acceso para identificar el origen de la exfiltración
|-
|Rotar credenciales
|CRÍTICA
|Cambiar todas las contraseñas de administradores y cuentas con acceso a la base de datos
|-
|Revisar vulnerabilidades
|ALTA
|Realizar auditoría de seguridad en la plataforma GOV.CO
|-
|Notificar a ciudadanos
|ALTA
|Informar a los ciudadanos afectados y recomendar medidas de protección
|-
|Contactar con las autoridades
|ALTA
|Reportar a la Fiscalía y al Ministerio de Tecnologías de la Información
|}

=== Para ciudadanos colombianos ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Monitorear actividad crediticia
|ALTA
|Estar atentos a aperturas de cuentas o créditos no solicitados
|-
|Cambiar contraseñas
|ALTA
|Especialmente en servicios gubernamentales y correo electrónico
|-
|Desconfiar de comunicaciones no solicitadas
|ALTA
|Phishing usando datos reales (nombres, direcciones, teléfonos)
|-
|Habilitar MFA
|ALTA
|Autenticación multifactor en cuentas importantes
|-
|Reportar actividad sospechosa
|MEDIA
|A las autoridades competentes
|}
----

== Contexto Más Amplio: Filtraciones de Datos Gubernamentales en América Latina ==
{| class="wikitable"
!País
!Entidad
!Año
!Registros afectados
!Actor
|-
|Colombia
|GOV.CO (reclamado)
|2026
|4.3M
|NormalLeVrai
|-
|Argentina
|Registro Nacional
|2024
|2.8M
|Desconocido
|-
|Brasil
|Datasus
|2023
|5.4M
|Desconocido
|-
|Chile
|Registro Civil
|2022
|1.2M
|Desconocido
|-
|México
|INE
|2021
|3.5M
|Desconocido
|}
----

== Opiniones de Expertos ==
<blockquote>''"La muestra no está relacionada con gov.co. Los datos contienen ciudadanos alemanes, no colombianos. Esto podría ser un intento de crear alarma sin una filtración real, o el actor está filtrando datos de otra fuente y etiquetándolos incorrectamente."''

— Pepitocolombia, usuario de BreachForums</blockquote><blockquote>''"Todos los nombres de la muestra son de Alemania. Esto no coincide con la descripción de GOV.CO."''

— klarkkark, usuario de BreachForums</blockquote><blockquote>''"Cuando un actor publica una filtración con datos que no coinciden con la descripción, hay que ser cauteloso. Puede ser una filtración real de otra entidad, o puede ser un engaño para ganar notoriedad. Lo que es seguro es que 4.3 millones de registros de ciudadanos alemanes también son una filtración grave si es real."''

— Fernando Vargas (CiberAnalyst)</blockquote>
----

== Referencias y Fuentes ==

# BreachForums. (2026, 26 de junio). ''GOV.CO 4.3M [Comeback ?] - Publicación de NormalLeVrai''.
# Threat Intelligence Report #8024. (2026, 26 de junio). ''NormalLeVrai / GOV.CO 4.3M''.
# Gobierno de Colombia. (2026). ''Portal GOV.CO - Servicios Digitales del Estado''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-30
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en el informe de BreachForums y Threat Intelligence Report #8024
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Actor de amenaza ===
{| class="wikitable"
!Tipo
!Indicador
|-
|Alias
|NormalLeVrai
|-
|Perfil BreachForums
|"Immortal", Puntos: 405, Reputación: 0
|-
|X/Twitter
|<code>@NormalLeVrai</code>
|}

=== Enlaces maliciosos ===
{| class="wikitable"
!Tipo
!Indicador
|-
|URL de descarga
|<code><nowiki>https://anonfilesnew.com/DjAUHP3ND8L/Steuergeld_in_Deutschland_4,2_Millionen.csv</nowiki></code>
|-
|Session ID
|<code>05309a344b0eb88776edfe3cbf42f9bffc6db898281d6a66186e8eba64f66df64f</code>
|}

=== Datos expuestos (según la muestra) ===
{| class="wikitable"
!Campo
!Tipo de dato
!Ejemplo
|-
|Cédula (11 dígitos)
|Numérico
|60385600072
|-
|Documento alemán
|DE + 9 dígitos
|DE509689857
|-
|Apellido
|Texto
|Fritsch
|-
|Nombre
|Texto
|Roberto
|-
|Fecha de nacimiento
|DD.MM.AAAA
|19.08.1985
|-
|Teléfono
| +49 (Alemania)
| +49(0)2040 03888
|-
|Dirección
|Calle, número, ciudad, código postal
|Binnergasse 90, 72354 Sulzbach-Rosenberg
|}

=== Comportamiento a monitorear ===
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Foros de hacking
|Publicaciones de NormalLeVrai en BreachForums
|-
|Enlaces
|Descargas desde anonfilesnew.com con nombres de archivo CSV
|-
|Redes sociales
|Menciones a @NormalLeVrai en X/Twitter
|}
----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿Los datos son realmente de GOV.CO?
|NO confirmado (la muestra contiene datos alemanes)
|-
|¿Los datos son reales (no fabricados)?
|NO confirmado
|-
|¿La entidad afectada es GOV.CO o el BZSt alemán?
|NO confirmado
|-
|¿El acceso fue a través de vulnerabilidad o credenciales?
|Desconocido
|-
|¿Hay más datos filtrados además de este conjunto?
|Desconocido
|-
|¿El actor está extorsionando al gobierno colombiano?
|Desconocido
|}
----

== Etiquetas / Categorías ==
 govco-data-breach normallevrai colombia-gov-4.3m-breach colombian-citizen-data-exposure breachforums-data-leak government-portal-hack steuergeld-deutschland-4.2m anonfilesnew-database-leak colombia-cybersecurity-incident