Cédulas, domicilios, vínculos familiares y fichas escolares figuran entre la información expuesta desde diciembre de 2022.
Al menos siete ciberataques contra organizaciones uruguayas expusieron datos de niños y adolescentes entre diciembre de 2022 y 2026, según un relevamiento realizado por El Observador.
Detrás de esos casos aparecen grupos regionales, como Tacuara, ExPresidents y PampaLeaks, y otros actores internacionales, como LeriWey, route67 y GodHand.
Sheriff, la plataforma de Birmingham Cyber Arms (BCA) que rastrea los ciberataques en la región, registra desde esa fecha 190 alertas con mención a Uruguay, en su mayoría de ransomware corporativo. En menos de una decena de esos casos hubo filtración de datos de menores.
El caso más grave fue el del INAU. En diciembre de 2022, un grupo cibercriminal internacional difundió 211.604 registros atribuidos a información reservada de niños y adolescentes.
El organismo confirmó la autenticidad de una muestra, pero no el volumen total. Atribuyó el origen a correos de funcionarios comprometidos y presentó una denuncia ante el área de Delitos Informáticos del Ministerio del Interior, hoy Dirección General del Cibercrimen.
En marzo de 2023, en la filtración de Montevideo Portal, los atacantes publicaron datos de 8.131 usuarios y al menos 55 casillas de correo completas, con adjuntos que incluían cédulas de menores.
En abril de 2024, un grupo ofreció en un foro criminal unos 300 archivos con fichas académicas de estudiantes del Liceo Erik Erikson. Sheriff advierte que los legajos escolares suelen incluir informes psicopedagógicos, sanciones y datos familiares.
En julio de 2024 se filtró información del Estudio Foderé: documentos legales, acuerdos y cédulas de identidad, algunas de ellas de menores de edad.
En setiembre de 2024, un grupo regional vendía acceso a una API expuesta del MTSS, una vía que permite a un sistema consultar datos de otro. Al ingresar una cédula, devolvía nombre y fecha de nacimiento, también de niños. El ministerio retiró el servicio y lo reactivó con cambios de seguridad.
En 2025, otro grupo regional puso en funcionamiento un bot de consultas automatizadas que permitía a cualquier usuario, mediante un pago, rastrear los lazos familiares de ciudadanos uruguayos. El sistema exponía registros de menores con parentesco, nombre completo, cédula, fecha de nacimiento, edad, género y departamento de residencia.
Después, el mismo grupo afirmó tener un millón de registros de Ceibal y 1,2 millones de cuentas de CREA, la plataforma oficial de gestión de cursos y aprendizaje virtual. Los atacantes publicaron una muestra gratuita con 33.000 registros.
Luego de que Ceibal negara la magnitud del incidente, el grupo divulgó un video en el que mostraba cómo operaba dentro de los sistemas del organismo y accedía a información vinculada a los hijos del presidente Yamandú Orsi. En la grabación se ven los datos de los usuarios, incluidos los números de serie y los identificadores de las computadoras asignadas a los menores.
En el mismo video, los atacantes mostraron cómo ingresaron a CREA y vulneraron la cuenta de los hijos del mandatario. Una vez dentro del perfil, modificaron su biografía pública para dejar un mensaje.
"Un saludo al Ministerio del Interior y al equipo de seguridad de Ceibal que niega la filtración de datos mientras hace un comunicado de la filtración de datos diciendo que sí se filtraron datos, pero no, pero sí, pero no, pero sí, pero no, pero sí...", escribieron. Además, reemplazaron la foto del estudiante por una imagen del expresidente de Ceibal Miguel Brechner.
A fines de setiembre de 2025, otro grupo regional publicó unos 15 GB de datos de ANEP: entre 2,7 y casi 3 millones de registros desde 2017, con cédulas, fechas de nacimiento, domicilios y vínculos familiares de estudiantes, incluidos menores.
El 6 de agosto de este año, uno de los grupos afirmó vender más de 1.144.324 registros de GURI Familia y unos 3,2 millones de inscripciones escolares de 2012 a 2025. Según la publicación, el material incluía cédulas, domicilios, relaciones familiares, escuela, clase y datos socioculturales.
Para Mauro Eldritch, experto en ciberseguridad, el valor está en que el menor todavía no tiene historial. "Tiene un scoring crediticio inexistente de alguien con una identidad limpia y que en algunos años ni siquiera siendo mayor de edad puede participar de productos financieros", explicó.
Con esos datos, según Eldritch, "podrías tener ya asegurada (comprometida) una identidad de antemano". Puso como ejemplo el número de seguridad social en Estados Unidos, que es privado desde el nacimiento y no se cambia.
"En la enorme mayoría de los casos los datos de niños vienen aparejados a los de sus tutores legales, que ya tienen asociada una identidad fiscal y un perfil económico. Hacé la cuenta", dijo.
"Es muy fácil armar segmentos de datos de niños bien, niños vulnerables, niños que residen en zonas muy acomodadas", agregó. Según el experto, eso es valioso para compañías inescrupulosas, "porque hacerlo por vías convencionales suele caer en distintas regulaciones de tratamiento y acceso a datos, y más si son de menores".
El riesgo también es directo. "Muchas veces los mismos grupos de delincuentes más jóvenes usan esos datos filtrados o accesos para obtener información privada de otros adolescentes y extorsionarlos", explicó.
Eldritch mencionó a grupos organizados como 764 y ramas locales, "donde adolescentes son extorsionados para autolesionarse o cometer actos sexuales contra su voluntad, filmarse y pasárselo a un administrador del grupo que lo tiene amenazado".
La amenaza, según el experto, es que "al tener sus datos personales pueden generarle deudas, o compras o adquisiciones de tarjetas y préstamos no autorizados, vandalizar su casa o enviarle pedidos o gente a molestarlos o incluso incriminarlos en cosas graves".
"Muchas veces incluso obtienen acceso a sus mensajes usando esta información", advirtió. Lo hacen con el SIM swapping: van a la compañía telefónica a pedir una copia del chip de la víctima.
"Y acá es donde todos están en falta. Las compañías telefónicas, los organismos de donde se filtran los datos, los que tienen que vigilar, los que tienen que castigar", dijo.
"Una vez que algo se sube a internet la difusión es imparable", explicó Eldritch. "Primero tendrías que apelar a la buena voluntad humana de que la gente diga 'son datos de menores, no los voy a tocar'. Ya de por sí no va a pasar".
Si la Justicia ordena dar de baja el contenido, "tarda muchísimo más de lo que imaginás", según el experto. "Para ese entonces mucha más gente hizo sus propias copias, algunos para revender, otros para usar". A eso se suman los crawlers y archivadores, programas que recorren la web y copian automáticamente lo que encuentran.
También está la IA de compañías de inteligencia que escanean los foros donde se publican filtraciones. "Muchas no están en lugares con buenas regulaciones de datos, con lo que no garantizás siquiera que la borren o te confirmen que la tienen", dijo.
Cuando una institución que maneja datos de menores sufre un hackeo, el reloj empieza a correr. El decreto 64/020 le da 24 horas para tomar medidas que reduzcan el impacto y 72 horas para notificar a la URCDP, explicó la abogada Agustina Pérez Comenale, especializada en datos personales.
Si quien detecta la filtración es el proveedor, por ejemplo la empresa que desarrolló la app del colegio, tiene que avisar de inmediato a la institución. Además, hay que informar a las familias significativamente afectadas y presentar un informe cuando el incidente esté resuelto.
Después viene la pregunta clave: si la institución estaba protegida. "No alcanza con decir que tenían medidas: tienen que poder demostrar que estaban implementadas, documentadas y revisadas", dijo Pérez Comenale. Y el proveedor no queda afuera: "La empresa de la app también puede responder según su rol y lo que haya incumplido".
La sanción máxima es una multa de 500 mil unidades indexadas, junto con la suspensión o clausura de la base de datos, según el artículo 35 de la Ley 18.331. Para la abogada, son montos "muy bajos en comparación a sanciones internacionales", en un sistema con "poca fiscalización".
Que los afectados sean niños no agrava la sanción de forma automática. "Puede pesar al valorar la gravedad", explicó, pero es "una interpretación que debe fundamentarse en el caso". La norma solo exige para menores una evaluación de impacto previa, según el artículo 6 del decreto 64/020.
Lo que sí cambia la gravedad es qué se filtró. "Colegios y apps sí manejan muchos datos de menores que son sensibles por su contenido: salud, por ejemplo, o biométricos en algunos casos", dijo. Esos datos tienen el régimen más estricto del artículo 18, que exige consentimiento expreso y escrito. "Depende del tipo de dato y no de la edad", resumió.
En lo penal, el artículo 297, incorporado por la ley 20.327, castiga con seis a 24 meses de prisión a quien vulnere datos confidenciales, y con 1 a 4 años a quien los difunda. La pena se agrava si lo hace quien debía custodiarlos, aunque "esto no significa que la institución hackeada cometa automáticamente ese delito", aclaró.