Nombres Alternativos / Aliases
- GOV.CO 4.3M Data Breach (Por el origen de los datos)
- NormalLeVrai Data Leak (Por el actor de amenaza)
- Colombia Government Portal Exposure (Por la entidad afectada)
- Steuergeld in Deutschland 4.2M (Por el nombre del archivo filtrado)
- Colombian Citizen Data Compromise (Por la naturaleza de los datos)
Fecha de Detección / Actividad
- Fecha de publicación en BreachForums: 26 de junio de 2026 (viernes)
- Timestamp del informe: 2026-06-26
- Origen del actor: Colombia (según el informe de amenazas)
- Estado: Confirmado (datos publicados en foros de hacking; verificación pendiente de autenticidad y alcance)
Actor de Amenaza (Atribución)
- Nombre del Actor: NormalLeVrai
- Identidad en foros: Usuario "Immortal" en BreachForums
- Reputación: 0 (cuenta nueva o recientemente activa)
- Puntos: 405
- Vínculo Gubernamental: Ninguno
- Tipo de Actor: Ciberdelincuencia / Data broker / Leaker
- Sofisticación: MEDIA. El actor demuestra:
- Acceso a sistema gubernamental colombiano (GOV.CO)
- Capacidad de descarga masiva de datos
- Publicación en foros de hacking de alto perfil (BreachForums)
- Uso de servicios de intercambio de archivos anónimos (anonfilesnew.com)
- Presencia en redes sociales (X/Twitter)
- Motivación: Notoriedad / Extorsión potencial / Venta de datos
- Actividad previa: Menciona "¿Quieren un regreso de NormalLeVrai?", sugiriendo que el actor ha estado inactivo y esta es una reaparición
Resumen Ejecutivo
El 26 de junio de 2026, un actor de amenazas identificado como NormalLeVrai publicó en el foro de hacking BreachForums un conjunto de datos que afirma corresponder a 4.3 millones de registros de ciudadanos colombianos extraídos de la plataforma GOV.CO (el portal oficial de servicios digitales del Estado colombiano).
Contexto del gobierno colombiano
GOV.CO es la plataforma digital oficial del Estado colombiano que permite a los ciudadanos:
- Acceder a procedimientos administrativos
- Consultar su expediente ciudadano
- Recibir notificaciones oficiales
- Gestionar documentos de forma centralizada
Los datos expuestos
Según la publicación, la filtración incluye 4,300,002 registros que contendrían:
| Tipo de dato
|
Información expuesta (según la muestra)
|
| Identificación
|
Cédula de ciudadanía (11 dígitos)
|
| Documento alemán
|
Número de identificación alemán (DE509689857, etc.)
|
| Nombres
|
Apellidos y nombres de los individuos
|
| Fecha de nacimiento
|
Fechas en formato DD.MM.AAAA
|
| Teléfono
|
Números de teléfono con prefijo alemán (+49)
|
| Dirección
|
Direcciones completas en Alemania
|
SERIAS INCONSISTENCIAS:
- Los datos de la muestra NO corresponden a ciudadanos colombianos, sino a ciudadanos alemanes (prefijo telefónico +49, direcciones en ciudades alemanas)
- La estructura de los datos no coincide con registros típicos de GOV.CO
- Los números de identificación (DE...) corresponden al formato alemán
Respuesta de la comunidad
| Usuario
|
Comentario
|
Fecha
|
| Pepitocolombia
|
"La muestra no está relacionada con gov.co"
|
26 de junio
|
| klarkkark
|
"Todos los nombres de la muestra son de Alemania"
|
28 de junio
|
La muestra publicada NO coincide con datos de ciudadanos colombianos. Es posible que:
- Los datos sean de otra fuente, no GOV.CO
- El actor haya exagerado o tergiversado el origen de los datos
- La muestra presentada no sea representativa del conjunto completo
Vector de Ataque / Método de Distribución
Método de filtración (no confirmado)
| Posible vector
|
Descripción
|
| Acceso a base de datos
|
Compromiso directo de la infraestructura de GOV.CO
|
| Credenciales robadas
|
Uso de credenciales de administrador para acceder a la plataforma
|
| Vulnerabilidad en aplicación
|
Explotación de vulnerabilidad en el portal GOV.CO
|
| Acceso a correos
|
El actor afirma: "Pude acceder a sus bandejas de entrada de correo electrónico"
|
Infraestructura utilizada
| Componente
|
Propósito
|
| BreachForums
|
Publicación de la filtración (foro de hacking)
|
| anonfilesnew.com
|
Alojamiento del archivo CSV filtrado
|
| X/Twitter
|
Perfil público del actor (@NormalLeVrai)
|
Enlace de descarga expuesto
| Tipo
|
Detalle
|
| URL
|
https://anonfilesnew.com/DjAUHP3ND8L/Steuergeld_in_Deutschland_4,2_Millionen.csv
|
| Contenido
|
Archivo CSV con 4.2 millones de registros (nombre "Steuergeld in Deutschland" - "Dinero de impuestos en Alemania")
|
| Session ID
|
05309a344b0eb88776edfe3cbf42f9bffc6db898281d6a66186e8eba64f66df64f
|
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK)
|
Técnica / Subtécnica
|
Descripción / Implementación
|
| Initial Access (TA0001)
|
Exploit Public-Facing Application (T1190)
|
Posible explotación de vulnerabilidad en GOV.CO
|
| Initial Access (TA0001)
|
Valid Accounts (T1078)
|
Posible uso de credenciales robadas
|
| Execution (TA0002)
|
Command and Scripting Interpreter (T1059)
|
Descarga masiva de datos desde la plataforma
|
| Credential Access (TA0006)
|
Credentials from Password Stores (T1555)
|
Acceso a bandejas de entrada de correo electrónico (reclamado)
|
| Collection (TA0009)
|
Data from Local System (T1005)
|
Extracción de 4.3M registros de la base de datos
|
| Collection (TA0009)
|
Data from Information Repositories (T1213)
|
Exfiltración de datos de la plataforma GOV.CO
|
| Exfiltration (TA0010)
|
Exfiltration Over Web Service (T1567)
|
Publicación en anonfilesnew.com
|
| Exfiltration (TA0010)
|
Transfer Data to Cloud Account (T1537)
|
Almacenamiento en servicio de intercambio de archivos
|
| Impact (TA0040)
|
Data Manipulation (T1565)
|
Publicación de datos sensibles
|
| Impact (TA0040)
|
Financial Theft / Extortion (T1657)
|
Posible intento de extorsión
|
Flujo de Ataque (Cyber Kill Chain)
| Fase
|
Descripción
|
| 1. Reconocimiento
|
Identificación de vulnerabilidades en la plataforma GOV.CO
|
| 2. Armamento
|
Preparación de herramientas para extracción de datos
|
| 3. Entrega
|
Acceso a la infraestructura de GOV.CO (método desconocido)
|
| 4. Explotación
|
Extracción de 4.3M registros de la base de datos
|
| 5. Instalación
|
(No aplica - exfiltración directa)
|
| 6. Comando y Control
|
(No aplica - exfiltración directa)
|
| 7. Acción sobre Objetivos
|
- Publicación en BreachForums
- Distribución en anonfilesnew.com
- Anuncio en X/Twitter
|
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Volumen de datos
|
MUY ALTO
|
4.3 millones de registros
|
| Sensibilidad de datos
|
MUY ALTA
|
Nombres, identificaciones, teléfonos, direcciones, fechas de nacimiento
|
| Impacto en ciudadanos
|
MUY ALTO
|
Robo de identidad, phishing, fraude
|
| Impacto reputacional
|
MUY ALTO
|
Daño a la imagen del gobierno colombiano
|
| Veracidad
|
INCIERTA
|
La muestra no coincide con ciudadanos colombianos
|
Consecuencias potenciales (si los datos son reales)
| Consecuencia
|
Gravedad
|
Detalle
|
| Robo de identidad
|
Crítica
|
4.3M ciudadanos con datos personales expuestos
|
| Phishing dirigido
|
Crítica
|
Estafas personalizadas usando información real
|
| Fraude financiero
|
Alta
|
Uso de identificaciones para abrir cuentas fraudulentas
|
| Suplantación de identidad
|
Alta
|
Uso de datos para hacerse pasar por ciudadanos
|
| Extorsión
|
Media
|
Posible uso de datos para amenazar a funcionarios
|
Incertidumbres críticas
| Duda
|
Implicación
|
| La muestra contiene datos alemanes
|
El archivo parece ser de Alemania, no de Colombia
|
| El nombre del archivo
|
"Steuergeld in Deutschland" (Dinero de impuestos en Alemania) sugiere datos alemanes
|
| Los comentarios en el foro
|
Usuarios ya señalaron que los datos no coinciden con GOV.CO
|
Recomendaciones de Mitigación
Para el Gobierno de Colombia (GOV.CO)
| Acción
|
Prioridad
|
Descripción
|
| Verificar la filtración
|
CRÍTICA
|
Confirmar si los datos son legítimos y corresponden a GOV.CO
|
| Auditar acceso a la base de datos
|
CRÍTICA
|
Revisar logs de acceso para identificar el origen de la exfiltración
|
| Rotar credenciales
|
CRÍTICA
|
Cambiar todas las contraseñas de administradores y cuentas con acceso a la base de datos
|
| Revisar vulnerabilidades
|
ALTA
|
Realizar auditoría de seguridad en la plataforma GOV.CO
|
| Notificar a ciudadanos
|
ALTA
|
Informar a los ciudadanos afectados y recomendar medidas de protección
|
| Contactar con las autoridades
|
ALTA
|
Reportar a la Fiscalía y al Ministerio de Tecnologías de la Información
|
Para ciudadanos colombianos
| Acción
|
Prioridad
|
Descripción
|
| Monitorear actividad crediticia
|
ALTA
|
Estar atentos a aperturas de cuentas o créditos no solicitados
|
| Cambiar contraseñas
|
ALTA
|
Especialmente en servicios gubernamentales y correo electrónico
|
| Desconfiar de comunicaciones no solicitadas
|
ALTA
|
Phishing usando datos reales (nombres, direcciones, teléfonos)
|
| Habilitar MFA
|
ALTA
|
Autenticación multifactor en cuentas importantes
|
| Reportar actividad sospechosa
|
MEDIA
|
A las autoridades competentes
|
Contexto Más Amplio: Filtraciones de Datos Gubernamentales en América Latina
| País
|
Entidad
|
Año
|
Registros afectados
|
Actor
|
| Colombia
|
GOV.CO (reclamado)
|
2026
|
4.3M
|
NormalLeVrai
|
| Argentina
|
Registro Nacional
|
2024
|
2.8M
|
Desconocido
|
| Brasil
|
Datasus
|
2023
|
5.4M
|
Desconocido
|
| Chile
|
Registro Civil
|
2022
|
1.2M
|
Desconocido
|
| México
|
INE
|
2021
|
3.5M
|
Desconocido
|
Opiniones de Expertos
"La muestra no está relacionada con gov.co. Los datos contienen ciudadanos alemanes, no colombianos. Esto podría ser un intento de crear alarma sin una filtración real, o el actor está filtrando datos de otra fuente y etiquetándolos incorrectamente."
— Pepitocolombia, usuario de BreachForums
"Todos los nombres de la muestra son de Alemania. Esto no coincide con la descripción de GOV.CO."
— klarkkark, usuario de BreachForums
"Cuando un actor publica una filtración con datos que no coinciden con la descripción, hay que ser cauteloso. Puede ser una filtración real de otra entidad, o puede ser un engaño para ganar notoriedad. Lo que es seguro es que 4.3 millones de registros de ciudadanos alemanes también son una filtración grave si es real."
— Fernando Vargas (CiberAnalyst)
Referencias y Fuentes
- BreachForums. (2026, 26 de junio). GOV.CO 4.3M [Comeback ?] - Publicación de NormalLeVrai.
- Threat Intelligence Report #8024. (2026, 26 de junio). NormalLeVrai / GOV.CO 4.3M.
- Gobierno de Colombia. (2026). Portal GOV.CO - Servicios Digitales del Estado.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-06-30
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en el informe de BreachForums y Threat Intelligence Report #8024
|
Indicadores de Compromiso (IOCs)
Actor de amenaza
| Tipo
|
Indicador
|
| Alias
|
NormalLeVrai
|
| Perfil BreachForums
|
"Immortal", Puntos: 405, Reputación: 0
|
| X/Twitter
|
@NormalLeVrai
|
Enlaces maliciosos
| Tipo
|
Indicador
|
| URL de descarga
|
https://anonfilesnew.com/DjAUHP3ND8L/Steuergeld_in_Deutschland_4,2_Millionen.csv
|
| Session ID
|
05309a344b0eb88776edfe3cbf42f9bffc6db898281d6a66186e8eba64f66df64f
|
Datos expuestos (según la muestra)
| Campo
|
Tipo de dato
|
Ejemplo
|
| Cédula (11 dígitos)
|
Numérico
|
60385600072
|
| Documento alemán
|
DE + 9 dígitos
|
DE509689857
|
| Apellido
|
Texto
|
Fritsch
|
| Nombre
|
Texto
|
Roberto
|
| Fecha de nacimiento
|
DD.MM.AAAA
|
19.08.1985
|
| Teléfono
|
+49 (Alemania)
|
+49(0)2040 03888
|
| Dirección
|
Calle, número, ciudad, código postal
|
Binnergasse 90, 72354 Sulzbach-Rosenberg
|
Comportamiento a monitorear
| Categoría
|
Comportamiento
|
| Foros de hacking
|
Publicaciones de NormalLeVrai en BreachForums
|
| Enlaces
|
Descargas desde anonfilesnew.com con nombres de archivo CSV
|
| Redes sociales
|
Menciones a @NormalLeVrai en X/Twitter
|
Preguntas sin respuesta
| Pregunta
|
Estado
|
| ¿Los datos son realmente de GOV.CO?
|
NO confirmado (la muestra contiene datos alemanes)
|
| ¿Los datos son reales (no fabricados)?
|
NO confirmado
|
| ¿La entidad afectada es GOV.CO o el BZSt alemán?
|
NO confirmado
|
| ¿El acceso fue a través de vulnerabilidad o credenciales?
|
Desconocido
|
| ¿Hay más datos filtrados además de este conjunto?
|
Desconocido
|
| ¿El actor está extorsionando al gobierno colombiano?
|
Desconocido
|
Etiquetas / Categorías
govco-data-breach normallevrai colombia-gov-4.3m-breach colombian-citizen-data-exposure breachforums-data-leak government-portal-hack steuergeld-deutschland-4.2m anonfilesnew-database-leak colombia-cybersecurity-incident
