Hacker «Gatito FBI» accede a sistema de la PNP y filtra información

Un ciberdelincuente identificado como “Gatito FBI ” habría comprometido el Sistema Informático de Denuncias de la Policía Nacional del Perú (SIDPOL), extrayendo aproximadamente 88 GB de datos sensibles, correspondientes a denuncias policiales registradas entre 2019 y 2025. Un informe realizado por «Punto Final» revela el alarmante hecho ocurrido durante un lapso de siete años.

¿Cómo accedió «Gatito FBI»?

Según reportes, “Gatito FBI NZ” adquirió credenciales legítimas (usuario y contraseña) en canales clandestinos como Telegram o WhatsApp, y luego empleó un script automatizado para extraer datos en masa. Asegura además que personal interno de la PNP podría haber facilitado dicho acceso deliberadamente. Además la baja seguridad digital que hay en el estado hace aún más fácil el acceso a este tipo de información y su posterior filtración.

La información incluye datos personales como nombres completos, teléfonos, domicilio, estado civil, placas vehiculares, tipo y fecha del delito, ubicación geográfica y perfil de las víctimas (el 61 % mujeres). El hacker estaría ofreciendo esta base de datos en la dark web por aproximadamente US $1 500. Los archivos que se tienen son de las denuncias registradas en su base de datos en los años 2019 hasta 2025.

“Se pueden comprar accesos fáciles en diversos foros. A veces son actuales miembros de la propia institución quienes los venden. Luego solo se necesita crear un script para descargar los datos” comentó Gatito FBI

¿Qué riesgos implica esta filtración?

El estar expuestos de esta forma, implica múltiples peligros, desde ser extorsionados hasta ser suplantados, es por eso que toma aún mayor revuelo lo ocurrido y la nula ciberseguridad del estado.

• La exposición de víctimas, denunciantes y testigos de delitos de violencia, estafa, narcotráfico, etc., revela un alto riesgo de extorsión, suplantación de identidad y chantaje.

• Expertos en seguridad digital advierten que contraseñas precarias y la falta de autenticación de dos factores habrían facilitado la intrusión y alimentan más los riesgos post filtración.

Respuesta de la PNP

Hasta ahora, la Policía Nacional del Perú no ha emitido un pronunciamiento oficial confirmando o detallando medidas ante el incidente. Tampoco se ha informado sobre acción de la Autoridad Nacional de Protección de Datos Personales ni del Centro Nacional de Seguridad Digital, aunque este último ha replicado alertas sobre otras filtraciones globales que afectan a usuarios peruanos. Hecho alarmante ya que de no realizarse una investigación ahora mismo, se pueden seguir filtrando los datos de miles de casos, adicional a ello, se debe mejorar e invertir en ciberseguridad estatal, pues no es el primer caso que ocurre en este 2025.

Otras filtraciones relevantes en Perú durante 2025

Movistar (Telefónica Perú)

En junio de 2025, se filtraron alrededor de 22 millones de registros de clientes de Movistar, de los cuales un millón corresponderían a usuarios en Perú. El grupo autodenominado “Dedale” habría posteado esta información como muestra del acceso ilícito. La brecha incluye nombres completos, DNI, números de teléfono, planes de servicio y estado de cuenta. El cibercriminal pidió también aproximadamente US $1 500 por la base de datos completa, cifra inusualmente baja para este tipo de operaciones. 

Filtración masiva global: 16 mil millones de credenciales

A mediados de 2025 se reveló una filtración sin precedentes con cerca de 16 mil millones de credenciales, que incluye cuentas en Google, Apple, Facebook, Telegram, Netflix, entre otros servicios. Muchas pertenecían a usuarios peruanos. El Centro Nacional de Seguridad Digital del Perú replicó la alerta y señaló que constituye una de las mayores fugas en la historia moderna de Internet.

Filtración de datos RENIEC

El 12 de abril, Blanca Saavedra Lozada, una programadora de 62 años que labora en la Oficina General de Tecnología de la Información y Comunicaciones del Mininter, fue la responsable de filtrar los datos de más de 15 millones de peruanos. Luego de haberse revelado este hecho, fue denunciada penalmente ante la Fiscalía de Ciberdelincuencia por la comisión de delitos informáticos. En este caso el responsable también fue «Gatito FBI», ya que con la facilidad de acceso a esta información, actualmente se ven las repercusiones de lo ocurrido.

Se evidencia una tendencia alarmante

No es del asombro de nadie, ver que cerca de terminar el año, aún estos problemas persisten y se agravan cada día más. No se puede estar seguro ni con los datos personales registrados estatalmente.

• Los sectores más expuestos son gobierno, seguridad pública, telecomunicaciones, finanzas y servicios digitales.

• En varios casos, los hackers han solicitado montos económicos bajos (~ US $1 500), probablemente para garantizar venta rápida y evitar negociaciones prolongadas o atención mediática.

• La falta de controles robustos como la autenticación multifactor, contraseñas seguras, monitoreo constante y auditorías internas continúa siendo una vulnerabilidad recurrente.

Recomendaciones

Estos casos cercanos reflejan patrones recurrentes y muestran que, más que incidentes aislados, el Perú enfrenta una etapa de vulnerabilidad digital sistemática. La reacción institucional y la cultura de protección deberán evolucionar para estar a la altura de la amenaza.

• Instituciones públicas y privadas deben implementar políticas estrictas de ciberseguridad, incluyendo MFA obligatorio y supervisión de acceso privilegiado.

• Es crítico fortalecer la regulación y supervisión de datos personales, asegurando que las violaciones obliguen a sanciones efectivas y transparencia.

• Usuarios individuales deben tomar medidas proactivas: cambiar contraseñas con regularidad, usar gestores de claves, activar verificación en dos pasos y estar atentos a intentos de phishing o suplantación.

Es hora de tomar acción

El caso de “Gatito FBI NZ” no solo revela una falla técnica, sino una fractura sistémica en la cultura de seguridad digital del país. Cuando las denuncias más sensibles de los ciudadanos se convierten en mercancía en la dark web, no solo se vulneran derechos individuales, sino que se erosiona la confianza en las instituciones encargadas de protegernos. Este incidente debe ser una llamada de atención urgente: no basta con reaccionar ante el daño; es momento de repensar cómo el Estado, las empresas y los ciudadanos asumimos nuestra responsabilidad frente a la ciberseguridad en un mundo cada vez más expuesto.