Los servicios digitales de Nepal enfrentan exposición de datos, interrupciones del mercado y vacíos de rendición de cuentas

135 cuentas de correo electrónico del Gobierno exponen un problema de seguridad más amplio

Al menos 135 cuentas de correo electrónico del dominio gubernamental nepal.gov.np de Nepal fueron identificadas en filtraciones de datos externas después de que el Centro Nacional de Ciberseguridad se incorporara a Have I Been Pwned, un servicio que rastrea credenciales expuestas. Entre las direcciones afectadas había cuentas asociadas con la Oficina del Primer Ministro y los ministerios del Interior, Finanzas y Asuntos Exteriores.

Este hallazgo se suma a informes sobre documentos de estudiantes y docentes expuestos, ataques a portales gubernamentales, interferencias en la contratación electrónica y un incidente de ransomware que interrumpió las operaciones bursátiles. Los casos publicados en octubre de 2026 describen una administración digital cuyos fallos de seguridad pueden afectar tanto la privacidad personal como el acceso a servicios esenciales.

Estos incidentes plantean problemas diferentes. Que una dirección de correo electrónico aparezca en una filtración no demuestra, por sí solo, que alguien haya ingresado en una red gubernamental. Que un sitio web quede fuera de servicio tampoco demuestra que se hayan robado sus registros. Sin embargo, las credenciales expuestas, los controles de acceso débiles y la dependencia de infraestructuras compartidas pueden combinarse y abrir vías hacia sistemas más sensibles.

Nepal está conectando los pasaportes, la verificación de identidad, los impuestos, la banca y la seguridad social a servicios digitales, mientras la ciudadanía sigue reportando filas, retrasos en la entrega de tarjetas de identidad y servidores fuera de servicio. Por tanto, el problema central va más allá de detener a los piratas informáticos: el Gobierno debe proteger la información que exige a las personas y mantener los servicios operativos cuando falla alguno de sus componentes.

Qué demuestra el hallazgo sobre los correos electrónicos

Nepal se convirtió en la entidad gubernamental número 47 en incorporarse a Have I Been Pwned, según Raj Kumar Maharjan, director del Centro Nacional de Ciberseguridad. La conexión permite al centro identificar direcciones gubernamentales expuestas en filtraciones ocurridas en otros lugares, en vez de depender únicamente de las pruebas encontradas en sus propias redes.

Maharjan dijo que el centro notificaría a los departamentos afectados y exigiría cambiar las contraseñas. Explicó cómo el servicio de monitoreo modifica la respuesta:

«A través de este portal, nuestro centro recibe ahora información precisa sobre qué dirección de correo electrónico se filtró y de qué fuente procede. Esto nos permite alertar a los funcionarios pertinentes en tiempo real, exigir el cambio inmediato de las contraseñas y evitar más daños».

La cifra de 135 no debe interpretarse como un recuento de intrusiones confirmadas en 135 buzones gubernamentales. La información publicada no establece cuántas cuentas seguían vulnerables, si las contraseñas expuestas todavía eran válidas ni cuántas contaban con protección de autenticación adicional.

La experta en ciberseguridad Mona Nyachhyon advirtió que las cuentas oficiales vulneradas pueden poner en peligro las redes internas y las comunicaciones confidenciales. Un atacante que controle un buzón gubernamental auténtico también puede hacer que solicitudes fraudulentas parezcan legítimas, sobre todo cuando quienes las reciben reconocen la dirección.

Otros informes describen credenciales asociadas con el Banco de Desarrollo Agrícola que aparecieron a través de programas maliciosos que roban información de dispositivos infectados. Este tipo de robo puede ocurrir en el equipo utilizado para acceder a un servicio, sin que el atacante tenga que penetrar directamente en el servidor central del servicio.

Los documentos de la ciudadanía y los portales públicos enfrentan amenazas distintas

Según se informó, el sistema en línea de la Comisión de Becas Universitarias expuso documentos de ciudadanía, certificados educativos, datos de cuentas bancarias y registros del Número de Cuenta Permanente pertenecientes a profesores y estudiantes. Al parecer, bastaba con cambiar una dirección web para acceder a los documentos porque no había controles de acceso.

El control de acceso es la verificación que determina si una persona tiene permiso para consultar un registro concreto. Un documento no está protegido simplemente porque su dirección sea difícil de adivinar. El servidor debe comprobar los permisos cada vez que alguien lo solicita.

Los informes también describen el acceso no autorizado a la interfaz de programación de aplicaciones pública del portal de nube del Gobierno. Una interfaz, conocida habitualmente como API, permite que los sistemas de software intercambien información o ejecuten acciones. Según las acusaciones, grupos identificados como PSy404 y AnoNagoSt, vinculados a la red ForceAnon, utilizaron ese acceso para publicar mensajes e imágenes.

Otros incidentes reportados incluyen vulnerabilidades divulgadas por Midnight Ops Nepal en sistemas como el Departamento de Hidrología y Meteorología, y el acceso a paneles de administración ministeriales atribuido a FunkSec. Supuestamente, se ofrecieron a la venta documentos presupuestarios y municipales.

Estas afirmaciones deben evaluarse por separado. Publicar material mediante una interfaz pública demuestra un fallo de control, pero no establece que se haya accedido a todas las bases de datos alojadas en la nube gubernamental. Los informes sobre documentos ofrecidos en venta también requieren verificar su autenticidad, alcance y origen antes de poder medir la exposición total.

Cronología de los ataques reportados y las medidas del Gobierno

Los relatos describen incidentes ocurridos a lo largo de varios años, no un único ataque coordinado. La secuencia también muestra que la creación de un centro de ciberseguridad especializado no puso fin a las interrupciones.

• 1 de enero de 2024: Un ataque distribuido de denegación de servicio habría interrumpido sitios web y aplicaciones de servicios públicos, con efectos que duraron varias semanas.
• 23 de enero de 2024: El Consejo de Ministros decidió crear el Centro Nacional de Ciberseguridad, que comenzó a funcionar más adelante esa primavera.
• Diciembre de 2024: Se reportaron ataques contra portales gubernamentales de las provincias de Gandaki, Lumbini y Bagmati.
• Febrero de 2025: Informes describieron ataques contra 21 subdominios de la provincia de Koshi.
• Marzo de 2025: Según los informes, la base de datos de la plataforma de denuncias Hello Sarkar fue vulnerada y ofrecida en venta.
• Abril de 2025: Supuestamente, se robaron de un sitio web de la Policía de Nepal y se ofrecieron en venta unos 2 millones de registros de ciudadanía presentados para informes policiales.
• 13 de mayo de 2026: Según los informes, las enmiendas publicadas al Reglamento de Distribución de Funciones del Gobierno de Nepal transfirieron organismos clave de tecnología a la Oficina del Primer Ministro.
• Septiembre de 2026: Un presunto ataque de ransomware interrumpió los sistemas que daban servicio a 72 casas de bolsa y detuvo las operaciones bursátiles durante un día.
• Principios de octubre de 2026: Según los informes, Pathao Nepal reconoció una filtración que involucró nombres de usuario, direcciones de correo electrónico y números de teléfono.

El presunto robo de alrededor de 2 millones de registros policiales es una de las mayores exposiciones descritas. Esa cifra es una afirmación reportada, no un recuento de personas afectadas establecido de forma independiente. Los relatos no ofrecen un desglose verificado de los registros únicos ni una evaluación pública completa de los daños.

La contratación electrónica incorpora la seguridad al gasto público

La presunta vulneración del sistema electrónico de contratación pública, conocido como e-GP, afecta tanto a la integridad de los contratos públicos como a la confidencialidad de la información. La Oficina de Supervisión de Contrataciones Públicas gestiona la plataforma para licitar obras gubernamentales por valor de miles de millones de rupias.

Según los informes, los investigadores descubrieron que usuarios no autorizados podían ver los montos confidenciales de las ofertas de sus competidores y modificar cifras después de los plazos de presentación. Los relatos describen una presunta colaboración entre piratas informáticos, intermediarios y contratistas, que incluiría pagos en criptomonedas y un sitio web de contratación falso.

Según los informes, la Oficina Central de Investigación de la Policía de Nepal arrestó a más de 20 personas, entre ellas un exministro, empresarios del sector de la construcción y empleados técnicos, y presentó casos ante los tribunales. Los arrestos y las acusaciones no equivalen a condenas. La información publicada no incluye sentencias definitivas que establezcan la responsabilidad de cada persona acusada.

Al parecer, los problemas de seguridad llevaron a suspender las licitaciones electrónicas y volver a las ofertas en sobres cerrados para las contrataciones esenciales. Los relatos no indican una fecha confirmada para restablecer el sistema.

La diferencia con una filtración de documentos es fundamental. La confidencialidad falla cuando alguien ve una oferta que no debería ver. La integridad falla cuando alguien modifica la propia oferta. Si se debilita cualquiera de estas protecciones, un sistema digital concebido para hacer más transparente la contratación puede, en cambio, dar una ventaja no declarada a determinados licitadores.

Un solo proveedor puede interrumpir todo un mercado

En septiembre de 2026, un presunto incidente de ransomware afectó a un centro de datos privado que alojaba sistemas de gestión de operaciones bursátiles para 72 empresas de corretaje. Según los informes, las operaciones de la Bolsa de Nepal estuvieron interrumpidas durante un día entero. El relato original también indica que en las instalaciones afectadas se alojaba información gubernamental.

El ransomware suele bloquear el acceso a sistemas o datos, a menudo mediante el cifrado de archivos, y exige un pago. La información publicada no establece el mecanismo técnico del ataque, si también se robaron datos ni si se pagó algún rescate.

La consecuencia descrita con mayor certeza es operativa: una interrupción en un proveedor de alojamiento se extendió a decenas de casas de bolsa e impidió operar a los inversores. Se trata de un riesgo de concentración, en el que muchas organizaciones dependen del mismo proveedor o infraestructura.

La divulgación de Pathao Nepal expone un problema distinto en el sector privado. Según los informes, a principios de octubre de 2026 se filtraron nombres, direcciones de correo electrónico y números de teléfono. Las informaciones mencionan a miles de usuarios afectados, pero no ofrecen un total exacto verificado.

Informes anteriores también mencionan filtraciones de información de clientes de Vianet y Foodmandu, ataques que involucraron sistemas de cajeros automáticos bancarios y un intento de ataque contra el sistema SWIFT de NIC Asia Bank. Estos incidentes difieren en alcance y resultado, pero muestran que el reto de seguridad va más allá de los sitios web gubernamentales y abarca servicios utilizados para comunicarse, comprar, transportarse y gestionar las finanzas.

Los problemas de capacidad del sistema nacional de identidad afectan a varios servicios

El sistema nacional de identidad muestra cómo puede fallar un servicio sin que se confirme un ciberataque. Según los informes, la presión técnica causó semanas de interrupciones en la autenticación cuando el sistema biométrico se acercó a una capacidad de unos 20 millones de registros.

Según se informó, más de 16 organismos sufrieron interrupciones, entre ellos los servicios de pasaportes, impuestos, transporte y banca. La cifra describe la presión reportada sobre la capacidad del sistema, no un recuento verificado de personas cuya información biométrica quedó expuesta.

Los relatos difieren al describir la identidad corporativa del proveedor francés. El relato original hace referencia a una transición de Idemia a IN Groupe, mientras que otro repite IDEMIA como nombre actual. Aquí no se establecen con precisión los acuerdos contractuales y de soporte. El problema operativo es el mismo: varios servicios dependían de una plataforma de autenticación y se vieron afectados cuando esta dejó de estar disponible.

Un servicio de identidad compartido puede reducir la repetición de verificaciones y trámites. También se convierte en un punto único de fallo si los organismos no pueden recurrir a una alternativa segura cuando el servicio deja de responder. Por eso, la planificación de la capacidad, los mecanismos de recuperación y la definición clara de las responsabilidades del proveedor son tan importantes como la protección frente a intrusos.

Las consecuencias para la privacidad requieren la misma atención. Las huellas dactilares son identificadores biométricos; los números de ciudadanía y las fechas de nacimiento son datos de identidad, no datos biométricos. A diferencia de una contraseña, una huella dactilar no se puede reemplazar sin más. La exposición de estos datos puede facilitar de forma duradera la suplantación de identidad y los fraudes selectivos.

Las defensas del Gobierno se amplían, aunque tienen límites

Según los informes, el Centro Nacional de Ciberseguridad auditó cerca de 40 sistemas gubernamentales durante los cuatro meses anteriores al informe sobre la filtración de correos electrónicos. También utiliza CTM360, una herramienta de monitoreo proporcionada por la Unión Internacional de Telecomunicaciones, para rastrear intercambios ilícitos relacionados con información gubernamental.

Un sistema de gestión de información y eventos de seguridad (SIEM) adquirido recientemente recopila y analiza registros de actividad en las redes gubernamentales. Estas herramientas ayudan al personal a detectar patrones sospechosos, pero su utilidad depende de qué se monitorea y de la rapidez con que los equipos investigan las alertas.

Prakash Duwadi, identificado en el relato en nepalí como responsable de información de la Oficina de Tecnología de la Información y Gobierno Electrónico, dijo que los portales gubernamentales alojados podían enfrentar simultáneamente entre 7.000 y 8.000 intentos de ataque. Calculó que las pruebas básicas realizadas por estudiantes o niños representaban entre el 10 % y el 20 % de los intentos. La información publicada no explica el período de medición ni el método de recuento.

Duwadi también dijo que el personal desconecta a veces los sistemas cuando no puede protegerlos de forma segura. Por tanto, la caída de un servidor puede ser una medida de protección y no una prueba de que los atacantes hayan tomado el control. En cualquier caso, la ciudadanía pierde el acceso, por lo que son necesarios avisos precisos sobre el servicio y procedimientos de recuperación.

Maharjan atribuyó más del 90 % de los incidentes cibernéticos al comportamiento humano y a la ingeniería social. Se trata de su evaluación, no de un dato estadístico nacional documentado. También advirtió que desarrollar aplicaciones rápidamente con inteligencia artificial puede hacer que quienes las programan no detecten debilidades en el cifrado y la seguridad.

Según los informes, algunos mensajes de suplantación de identidad se hicieron pasar por Manoj Kumar KC, inspector general adicional, la Oficina del Primer Ministro y otros funcionarios policiales. Amenazaban con iniciar procesos judiciales para presionar a quienes los recibían a responder o revelar información. Estos ejemplos muestran cómo el miedo y la autoridad oficial pueden convertirse en instrumentos de fraude.

Los derechos a la privacidad necesitan una aplicación visible

El artículo 28 de la Constitución de Nepal protege la privacidad. La Ley de Privacidad de 2075 (2018) también establece obligaciones respecto de la información personal que conservan los organismos públicos. El relato original y el análisis que lo acompaña relacionan el artículo 29 con penas de hasta tres años de prisión, el artículo 31 con indemnizaciones y el artículo 32 con medidas disciplinarias.

Esas disposiciones no demuestran que todo fallo técnico reportado cumpla los requisitos para constituir un delito o dar lugar a una indemnización. La responsabilidad debe determinarse a partir de la conducta, las disposiciones legales aplicables y las pruebas. La información pública ofrece pocos detalles sobre sanciones o indemnizaciones relacionadas con los incidentes descritos.

La responsabilidad administrativa también está cambiando. Según los informes, las enmiendas publicadas el 13 de mayo de 2026 trasladaron el Centro de Ciberseguridad, el Centro de Gestión de Datos y el Departamento de Tecnología de la Información a la Oficina del Primer Ministro. Un temario del Consejo de Ministros aprobado el 27 de marzo de 2026 pidió crear una Oficina de Tecnología de la Información y Gobierno Electrónico en un plazo de tres meses, pero, según se informó, los estudios organizativos seguían sin terminar cuando se publicó el relato.

La estructura resultante y las líneas jerárquicas aún no estaban definidas. Trasladar instituciones no establece por sí solo quién debe notificar a las personas afectadas, autorizar la restauración de un servicio comprometido o verificar que un proveedor haya corregido un fallo de seguridad.

Pruebas, contratación y divulgación: las próximas decisiones

El análisis original propone incorporar desde el principio las obligaciones de seguridad en la contratación de software. Entre ellas, figuran el cifrado, las actualizaciones continuas, el mantenimiento y una selección basada en la calidad y el costo, en lugar de tratar el software como una compra que queda terminada con la entrega. Son propuestas, no nuevos requisitos gubernamentales confirmados.

También aboga por hacer obligatorias las evaluaciones de vulnerabilidades y las pruebas de penetración antes de abrir los servicios a la ciudadanía. Estas pruebas detectan debilidades y simulan intrusiones controladas. Realizar una prueba no equivale a corregir sus hallazgos: para que la decisión de poner un servicio en marcha sea creíble, debe haber pruebas de que los defectos graves se corrigieron y se verificaron nuevamente.

El especialista en ciberseguridad Naresh Lamgade afirma que a menudo se deja de lado la seguridad durante el desarrollo y se desalienta a investigadores privados a reportar vulnerabilidades. Un canal claro de denuncia, con procedimientos de gestión definidos, permitiría convertir los hallazgos en reparaciones y evitaría que los investigadores tuvieran dudas sobre cómo dirigirse a un organismo.

Otras medidas propuestas incluyen exigir autenticación adicional para las cuentas de correo electrónico gubernamentales y administrativas, realizar auditorías periódicas de los centros de datos, notificar a la ciudadanía afectada después de una filtración y crear un organismo independiente de protección de datos. La información publicada no indica fechas confirmadas para adoptar estas medidas.

Las preguntas inmediatas que siguen sin respuesta son concretas: cuántas cuentas expuestas ya están protegidas, si se han autenticado las bases de datos presuntamente robadas, cuándo se reanudarán las licitaciones electrónicas y cómo se evitará otra interrupción por problemas de capacidad en los servicios de identidad. Las respuestas públicas permitirían evaluar la recuperación por sus resultados y no por el número de servicios que se ponen en línea.

Puntos clave

• Se identificaron al menos 135 cuentas de correo electrónico gubernamentales en filtraciones externas después de que Nepal se incorporara a Have I Been Pwned.
• Entre las exposiciones reportadas figuran documentos universitarios y alrededor de 2 millones de registros de ciudadanía relacionados con informes policiales; esta última cifra aún no está verificada.
• Según los informes, más de 20 personas fueron arrestadas en el caso de contratación electrónica; no se han comunicado los resultados judiciales definitivos.
• Un presunto incidente de ransomware en septiembre de 2026 interrumpió los sistemas que daban servicio a 72 casas de bolsa y detuvo las operaciones bursátiles durante un día.
• Según los informes, los problemas de capacidad del sistema nacional de identidad interrumpieron durante semanas la autenticación en más de 16 organismos.
• Se han ampliado el monitoreo y las pruebas de seguridad, pero siguen sin resolverse la notificación de filtraciones, la asignación de responsabilidades y varias fechas de recuperación.