Las autoridades del banco concurrieron a la Comisión de Vivienda y Territorio de la Cámara de Diputados a instancias del legislador blanco Juan Pablo Delgado, quien pidió detalles del ataque, que fue reivindicado por el grupo Crypto24. Tras el incidente se filtraron 700 gigabytes de datos en la dark web, dado que los delincuentes pedían un rescate que no fue pagado, como confirmaron las autoridades del banco en el Parlamento.
Dentro de los datos filtrados, según había podido corroborar El Observador en su momento, se incluyeron datos personales de clientes, registros contables y financieros, contratos legales, títulos de propiedad, archivos de riesgo y documentos técnicos vinculados a la infraestructura informática del banco.
El ciberataque dejó como consecuencia un "costo estimado de unos US$ 12 millones asociados directamente al incidente", informó Laura Zunino, gerenta del Área Riesgos, del banco en el Parlamento, según consta en la versión taquigráfica informada en primera instancia por El País.
Imagen ilustrativa creada con ChatGPT de hackers.
ChatGPT
Dicho monto incluye "servicios de remediación", como "asesoramiento en reconstrucción de sistemas, análisis técnico forense, gastos asociados a recursos humanos, adaptación de sistemas" y el diseño de "nuevos protocolos de seguridad".
El episodio tuvo consecuencias directas para los usuarios —que dejaron de poder hacer algunos trámites de forma online (como transferir dinero o abrir una cuenta)—, pero al día de hoy el banco no cuenta con un "responsable de seguridad de la información".
Tampoco contaba con una persona ocupando ese cargo la momento de registrarse el ataque.
El gerente de TI (Tecnología de la Información) del BHU, Bernardo Ureta, dijo en la comisión que "varios meses antes" del ciberataque el banco abrió un llamado interno para un "responsable de seguridad de la información" y de "analista en seguridad de la información". Primero se hizo el concurso dentro del propio escalafón de Tecnología, algo que, según dijo, está previsto en el reglamento de ascensos.
Pero ese primer llamado quedó desierto, por lo que se procedió a realizar otro, esta vez sin restricción de escalafones. "Después se hizo el concurso interno en todos los escalafones del Banco. En ese momento fue el ataque, cuando estábamos terminando el concurso para todos los escalafones internos del Banco, y también quedó desierto", contó.
Recién en enero de 2026, cuando la institución pudo "recomponerse" del incidente, se lanzó un llamado público.
"A esta altura están definidas las personas. Se hicieron todos los procesos concursales con toda la transparencia del caso, y hoy en día todavía no han podido ingresar porque están en la Oficina Nacional del Servicio Civil. Estamos esperando el okey para llamarlos y decirles que entran", detalló.
Inmediatamente después de la declaración de Ureta en la comisión, el presidente del BHU, Gabriel Frugoni, intervino para dejar una constancia. "Que no exista cargo hoy no quiere decir que no se cumpla la función", dijo.
Y agregó que el organismo tiene una "empresa asesora" que ya "venía de antes". Pero aclaró: "De esto no te salva un encargado de ciberseguridad. Hay que tener toda una metodología, y eso lo hace una empresa que tenemos hoy, que es Nexa, que es la que se ha encargado de todo esto y la que se está encargando de un proyecto de ciberseguridad que tenemos hoy".
Ureta volvió a tomar la palabra para subrayar que las tareas que haría un encargado hoy recaen en él y en la gerente del Área Riesgos. "La responsabilidad actualmente está a cargo de nosotros".
La reserva y la falta de comunicación
El BHU declaró reservada por 15 años la información relativa al ciberataque y sus consecuencias mediante una resolución aprobada en junio de 2026. El argumento fue que, de lo contrario, se podría "comprometer la seguridad del banco, la investigación en curso y su normal funcionamiento".
Delgado preguntó a las autoridades del BHU por este tema.
Frugoni respondió que la decisión estaba validada por "organismos públicos" y que la propia ley que habilita la declaración de reserva establece la posibilidad de hacerlo por 15 años. En este caso, argumentó que la decisión se basó en uno de los literales de la norma que se basa en una "pérdida de ventajas por un ente en competencia" con otros.
Sobre el plazo de 15 años, los representantes del BHU dijeron que no se había querido "innovar" y que se atuvieron a lo fijado por la ley.
Otro punto alto del debate en la comisión fue la falta de notificación a los clientes del banco una vez que ocurrió el incidente. "Yo como cliente nunca fui notificado si mis datos se filtraron o no se filtraron y si se filtraron, cuáles", expresó Delgado.
En respuesta, desde el BHU respondieron que no se había hecho una comunicación particular, sino "general" por vías públicas e institucionales. Y que, como cliente del banco, la respuesta que le hubiesen dado al cliente es que se "acercara" a las oficinas.
"No son informaciones que el banco dé ni pueda dar públicamente, porque es una operación pasiva y como toda operación pasiva de un banco está sujeta a tutela del secreto profesional bancario", dijo el asesor letrado del Directorio del BHU, Héctor Dotta.
