El hackeo también es comunicación Antel, Frente Amplio y comunicación institucional en escenarios de crisis

Hay instituciones que no pierden la comunicación cuando se quedan calladas.

A veces la pierden cuando hablan.

Hablan en el idioma correcto para el expediente, para el regulador, para la jerarquía, para el comunicado de prensa, para la frase que no compromete demasiado. Hablan con palabras que parecen sólidas: protocolo, contención, confiabilidad, medidas correctivas, investigación, unidad, diversidad, responsabilidad. Cada una cumple una función. Cada una protege algo. Cada una intenta cerrar una escena que todavía está abierta.

Pero una escena abierta no se cierra por decreto.

Tampoco por comunicado.

El caso Antel permite mirar eso con una nitidez incómoda. No solo por el ataque confirmado a TuID. No solo por la filtración atribuida a DeadPresidents sobre HG S.A., empresa fundada por Antel y orientada a transformación digital de gobierno. No solo por los datos biométricos que Antel reconoció después como potencialmente comprometidos en un conjunto acotado de usuarios. El punto, para este texto, es otro: la seguridad digital también produce una crisis de lenguaje.

Y cuando el lenguaje institucional no alcanza, el incidente técnico empieza a convertirse en incidente político.

El servidor no es la única superficie vulnerable. La escena pública también puede quedar expuesta.

La secuencia

El jueves 7 de mayo de 2026, Antel publicó un comunicado sobre un ataque al sistema de autenticación de TuID. Dijo que su División de Estrategias de Seguridad había implementado protocolos, que el ataque no había vulnerado claves de autenticación ni datos especialmente protegidos de la ciudadanía o de la empresa, que se mantenía la confiabilidad del sistema de firma electrónica avanzada, que se había contenido la actividad ilícita y que se realizaron denuncias ante Fiscalía y el Ministerio del Interior.¹

Ese mismo día, Telenoche informó que Antel había confirmado un ciberataque sobre la base de datos TuID y recogió afirmaciones atribuidas a atacantes sobre una vulnerabilidad del servidor, datos personales y riesgos derivados.² En «La identidad también tiene infraestructura» escribí que ahí aparecía una distancia decisiva: la institución informaba que había actuado; el usuario necesitaba saber qué hacer.

El martes 12 de mayo, El Observador publicó que el grupo DeadPresidents había puesto a la venta un lote de 12 GB que aseguraba haber extraído de HG S.A., empresa tecnológica de la que Antel es propietaria. La nota consignó credenciales, bases de datos, código fuente, documentación técnica y acceso a servidores, además de la hipótesis de un acceso inicial vendido por un IAB.³ HG se presenta en su propia web como una empresa fundada por Antel en 2001 para impulsar la industria de la información y las telecomunicaciones y apoyar a organizaciones de gobierno en soluciones de transformación digital.⁴

Ese fue el punto de «El taller también era infraestructura»: no mirar solo la pantalla del trámite, sino el taller donde se construyen, prueban y mantienen puertas digitales del Estado.

El viernes 15 de mayo, Antel publicó un segundo comunicado sobre TuID. Informó que realizó un análisis forense exhaustivo y sostuvo que, para la totalidad de usuarios, no se comprometieron contraseñas, pines de firma, claves privadas asociadas a certificados digitales ni credenciales. Pero agregó un dato nuevo: un máximo de 163 usuarios podría haber visto comprometidas minucias de su huella dactilar, asociadas al enrolamiento inicial entre febrero y octubre de 2020. Antel dijo que notificó a esas personas, que esos enrolamientos se dieron en el contexto excepcional de la pandemia, que las minucias fueron gestionadas de forma inadecuada en esa etapa y que comunicó el caso a CERTuy, URCDP y la Dirección General de Cibercrimen.⁵

Ese mismo 15 de mayo, en conferencia de prensa, las autoridades de Antel hablaron de un aumento fuerte de ciberataques. Subrayado recogió que el presidente del ente, Alejandro Paz, dijo que los ataques se habían incrementado entre ocho y diez veces y que Antel era un objeto deseable de ataque.⁶ Telenoche informó que la empresa recibía más de 150 incidentes mensuales que requerían análisis de ciberseguridad, que en lo que iba del año se contabilizaban 490 ataques y que, según Antel, el único ataque confirmado hasta ese momento era el de TuID, sin evidencia de ataques exitosos contra HG o Ticantel aunque con investigaciones en curso.⁷

Ese es el relevamiento mínimo.

No un solo hecho.

Una secuencia.

Primero, ataque confirmado y confianza declarada.

Después, cobertura periodística con afirmaciones de atacantes.

Luego, filtración atribuida sobre una empresa de Antel que trabaja sobre infraestructura digital de gobierno.

Más tarde, reconocimiento oficial de una afectación potencial de minucias biométricas en 163 usuarios.

Y, alrededor, frases institucionales destinadas a contener la escena: «la plataforma sigue siendo confiable», «no hay evidencia», «protocolos», «análisis forense», «monitoreo», «investigación en curso».

Todo eso puede ser cierto.

Y aun así no alcanzar.

Una crisis digital rara vez aparece completa. Primero llega como alerta, después como comunicado, después como filtración, después como pregunta.

El primer problema: la confianza como frase

El error comunicacional de Antel no consiste necesariamente en haber mentido.

No hace falta suponer eso.

Con la información pública disponible, Antel confirmó un ataque, denunció, comunicó a organismos competentes, realizó análisis forense, notificó a los usuarios alcanzados por la situación biométrica y sostuvo que la plataforma TuID seguía siendo confiable. Todo eso importa. Todo eso debe quedar registrado.

El problema es otro: Antel trató la confianza como una conclusión que podía ser enunciada desde arriba.

La confianza, en una infraestructura digital pública, no funciona así.

No es una frase.

Es una cadena de verificaciones.

Cuando una institución dice «no se vieron comprometidas contraseñas, pines, claves privadas ni credenciales», está contestando una parte relevante de la pregunta. Pero cuando en la misma secuencia aparece que hasta 163 usuarios podrían haber tenido comprometidas minucias de huella dactilar gestionadas inadecuadamente en una etapa inicial, la palabra «confiable» cambia de temperatura. Puede seguir siendo técnicamente defendible respecto de la operativa actual de la plataforma. Pero ya no entra igual en el oído de quien usa TuID para firmar, autenticarse o hacer un trámite.

Una institución oye categorías.

El usuario oye cuerpo.

Huella.

Cédula.

Firma.

Acceso.

Clave.

Trámite.

Préstamo.

Suplantación.

El comunicado puede distinguir entre minucia biométrica y huella completa. Puede explicar que no se afectó la firma avanzada. Puede decir que la situación corresponde a enrolamientos iniciales y que después se incorporaron mejores mecanismos de protección. Esa precisión es necesaria. Pero la precisión técnica no reemplaza el trabajo comunicacional. Lo exige.

Porque el problema no es solo qué pasó en el sistema.

Es qué puede entender una persona sobre su propia exposición.

Ahí estuvo la falla. Antel habló mucho más hacia el aparato que hacia el ciudadano. Habló como quien necesitaba demostrar que había cumplido, reportado, contenido, revisado, corregido. Pero el usuario necesitaba una secuencia más simple y más dura:

• si estoy afectado, cómo me entero;
• si no fui notificado, qué significa;
• qué datos pudieron quedar expuestos;
• qué datos no;
• qué debo hacer hoy;
• qué no sirve hacer;
• qué riesgo de phishing aumenta;
• cuándo habrá una nueva actualización pública;
• quién audita el cierre del incidente;
• qué se aprendió y qué cambió.

Eso no requiere publicar secretos técnicos.

Requiere publicar gobierno.

La institución habla de categorías. El usuario escucha cuerpo, firma, trámite, huella, acceso.

La segunda superficie

En ciberseguridad se habla mucho de superficie de ataque.

El servidor.

La API.

El repositorio.

La credencial.

El endpoint.

El proveedor.

Pero hay otra superficie menos técnica y no menos explotable: la superficie comunicacional.

Cuando una institución deja zonas grises sin narrar, alguien más las narra. Lo hacen los atacantes, los medios, los usuarios, los adversarios, los expertos, los oportunistas, los ansiosos, los que saben, los que creen saber y los que descubren que un hilo puede convertirse en autoridad durante unas horas.

Ese vacío no es neutral.

En el caso HG, El Observador señaló que la filtración no implicaba necesariamente el acceso a tarjetas de crédito ni a todos los usuarios, pero sí podía funcionar como entrada a herramientas, planos y llaves para construir o atacar sistemas posteriores.³ Esa imagen es decisiva. Una filtración técnica no solo expone pasado. También produce futuro: phishing más creíble, accesos derivados, lectura interna de sistemas, mapas de proveedores, documentación que ayuda a preguntar mejor dónde golpear.

Cuando después una institución dice «no hay evidencia» de un ataque exitoso a cierta plataforma, la frase puede ser correcta en sentido forense. Pero si no se acompaña de una explicación sobre qué evidencia se revisó, qué falta revisar y cuándo se actualizará el estado, puede sonar como cierre administrativo.

Y lo que suena a cierre administrativo en una escena todavía abierta se convierte en otra vulnerabilidad.

No del servidor.

De la confianza.

La palabra «protocolo» tiene ese peligro. Puede ser la señal de que una organización sabe qué hacer. También puede volverse un tranquilizante. Si el público no ve cronología, alcance, responsables, plazos y aprendizaje, el protocolo se parece demasiado a una caja cerrada.

Y una caja cerrada, en una crisis de seguridad, se vuelve sospechosa aunque esté haciendo cosas razonables.

El paralelismo con el Frente Amplio

El paralelismo con el Frente Amplio no está en el tipo de problema.

Un ciberincidente sobre identidad digital y proveedores públicos no es lo mismo que una polémica por una entrevista, un comunicado sectorial o una tensión entre diversidad y unidad partidaria. Sería absurdo equipararlos materialmente.

El paralelismo está en la forma de la respuesta.

En «Frente Único» la pregunta era qué ocurre cuando una fuerza política que se define por su amplitud acepta la diversidad como inventario, pero se incomoda cuando esa diversidad aparece públicamente como diferencia costosa. El Frente Amplio puede mostrar sectores, tradiciones y documentos que reconocen pluralidad. Su propia historia institucional lo define como una coalición y movimiento sobre bases de diversidad ideológica, funcionamiento democrático y unidad de acción.⁸ Su página de sectores enumera múltiples grupos políticos nacionales y recuerda que deben aceptar documentos fundamentales y lineamientos decididos por la Dirección Nacional.⁹

Ahí está la tensión.

La diversidad existe.

Pero debe volver a la unidad.

El caso Kramer permitió ver el mecanismo. Una entrevista produjo frases recortables. Un sector respondió. La respuesta sostuvo que había errores, que ciertos dichos no reflejaban la posición colectiva y que la unidad debía construirse desde la diversidad. Luego vino la disculpa, la aclaración, el dolor íntimo y el retorno al cauce.¹⁰

Ese circuito se parece más de lo que parece al circuito comunicacional de Antel.

No porque Kramer sea TuID.

No porque el Frente Amplio sea un servidor.

Sino porque ambas instituciones intentan resolver una crisis de confianza con una fórmula de pertenencia.

Antel dice: la plataforma sigue siendo confiable.

El Frente Amplio dice: unidad desde la diversidad.

En los dos casos, la frase intenta estabilizar una escena. Y en los dos casos, si la frase llega demasiado rápido, puede mostrar aquello que quiere tapar.

En Antel, la confianza aparece como propiedad del sistema declarada por la propia institución.

En el Frente Amplio, la diversidad aparece como propiedad del partido administrada por la propia organización.

El problema no es que esas afirmaciones sean falsas en bloque.

El problema es que suenan autorreferenciales.

El que tiene que ser creído certifica la razón por la que debe creérsele.

Ahí se rompe algo.

Dos cajas negras

La caja negra de Antel es técnica.

La investigación forense.

Los logs.

Las credenciales.

Las minucias biométricas.

La API.

Los servidores de desarrollo.

Los reportes a CERTuy.

Los informes internos y externos.

La caja negra del Frente Amplio es política.

La conversación interna.

El malestar militante.

La presión del sector.

La forma de escribir un comunicado.

La decisión de corregir a una compañera.

La diferencia entre aclarar una posición y producir una penitencia.

La capacidad real de sostener matices en público.

Las dos cajas negras son distintas. Pero comparten un gesto: piden confianza sobre un proceso que el público no ve.

Antel dice: investigamos, contenemos, corregimos, notificamos.

El Frente Amplio dice: discutimos, cuidamos, corregimos, seguimos unidos.

Una caja negra técnica y una caja negra política no son lo mismo. Pero las dos piden confianza sobre procesos que el público no ve.

El problema aparece cuando la escena pública no recibe suficiente evidencia de proceso. No evidencia completa. Nadie pide publicar contraseñas, IPs, informes forenses íntegros, deliberaciones privadas ni conversaciones internas. Pero entre secreto total y exposición irresponsable hay una zona de transparencia proporcional.

Esa zona es la que las instituciones uruguayas suelen administrar mal.

O hablan como si todo fuera obvio para quien pertenece al aparato.

O callan porque todavía no tienen todo.

O comunican una conclusión sin mostrar el camino.

O confunden prudencia con opacidad.

O suponen que el público debe entender que «se está trabajando».

Pero la confianza no se sostiene solo con la promesa de trabajo interno.

Se sostiene con rastros visibles de control.

Goffman sirve para pensar esto sin convertirlo en tecnicismo sociológico: una crisis pública no disputa solamente datos, disputa la definición de la situación. Quién logra decir qué está pasando, qué rol ocupa cada actor, qué debe sentir la audiencia, qué cuenta como respuesta suficiente y cuándo se puede dar por cerrada la escena.

Antel quiso definir la situación como ataque contenido, plataforma confiable, afectación acotada e investigación en curso.

El Frente Amplio quiso definir la situación Kramer como error corregido, diversidad contenida, unidad preservada y pertenencia ratificada.

En ambos casos, la definición institucional encontró resistencia porque no respondía del todo a la experiencia pública de la escena.

En Antel, la gente vio una sucesión de golpes.

En el FA, parte del público vio disciplina.

Y cuando la experiencia pública no coincide con la frase institucional, la frase deja de ordenar.

Empieza a delatar.

Qué debería haberse podido decir

Una comunicación pública adulta no necesita fingir omnisciencia.

Al contrario: gana autoridad cuando reconoce incertidumbre con método.

Antel debería poder publicar, sin comprometer la investigación, un tablero narrativo de crisis:

• una cronología con fecha de detección, contención, denuncia, reporte y notificación;
• una separación clara entre hechos confirmados, hechos descartados, hipótesis en análisis y afirmaciones de atacantes no verificadas;
• una explicación en lenguaje ciudadano de qué son las minucias biométricas y por qué importan aunque no sean una huella completa;
• una guía de acciones para usuarios notificados, usuarios no notificados y público general;
• una explicación de qué organismos recibieron reporte y bajo qué plazos;
• un compromiso de informe posterior con aprendizajes, auditoría y medidas permanentes;
• una fecha para la próxima actualización, incluso si la actualización dice que no hay novedades sustantivas.

CERTuy recuerda que las entidades públicas y privadas vinculadas a servicios o sectores críticos deben reportar incidentes dentro de las 24 horas siguientes a la detección.¹¹ Agesic, al explicar el Decreto 66/025, señaló que las entidades privadas proveedoras del Estado en servicios críticos también deben cumplir la normativa según lineamientos del organismo estatal al que prestan servicios.¹²

Ese marco no debería quedar como decoración jurídica.

Debería convertirse en lenguaje público.

La pregunta no es solo si se cumplió.

La pregunta es cómo se puede ver que se cumplió.

El Frente Amplio, por su parte, debería poder comunicar una diferencia interna sin convertir a una persona en expediente moral. Podría decir: esta no es nuestra posición, estos son nuestros criterios, esta discusión es sensible, reconocemos que hubo una entrevista construida bajo un marco problemático, no vamos a hacer de una compañera el objeto de una pedagogía pública, y abriremos una conversación política real sobre cómo se sostienen matices cuando el adversario busca capturarlos.

Eso sería más difícil.

También sería más amplio.

Porque la amplitud no se demuestra cuando todos repiten la línea final.

Se demuestra cuando la organización no necesita convertir cada tropiezo en rito de retorno.

Lo mismo vale para Antel, con otra gravedad y otro campo: la confianza digital no se demuestra repitiendo que el sistema es confiable. Se demuestra mostrando cómo se sabe, qué se revisó, qué no se sabe todavía y qué cambia después de saberlo.

Cambiar la cerradura y cambiar la frase

La estética hacker suele engañar.

Nos hace imaginar una habitación oscura, una pantalla verde, una mano anónima, un mapa de red, una alarma roja. Todo eso sirve como clima. Pero el problema real es menos cinematográfico y más aburrido: permisos, reportes, proveedores, comunicaciones, tiempos, responsabilidades, archivos, auditorías, versiones, usuarios notificados, frases públicas que envejecen mal.

Cambiar la cerradura no alcanza si la institución sigue hablando como si la puerta nunca hubiera estado en duda.

El hackeo no termina cuando se cierra el acceso.

Termina, si termina, cuando la institución puede explicar qué cerradura cambió y por qué la nueva cerradura no depende de la misma confianza ciega.

Y ahí la comunicación no es maquillaje.

Es parte de la infraestructura.

Un Estado digital que pide a las personas que firmen, entren, compren, reserven, validen, se identifiquen y tramiten dentro de sistemas invisibles no puede hablar como si la ciudadanía fuera una molestia posterior al protocolo. Tampoco un partido que se define amplio puede hablar como si la diversidad solo fuera aceptable después de pasar por la mesa de corrección.

En ambos casos, la institución confunde control con cierre.

Pero controlar una crisis no es cerrarla rápido.

Es sostenerla abierta el tiempo suficiente como para que el público vea qué se está haciendo.

La frase que debería quedar no es «todo está bajo control».

Esa frase ya no alcanza.

La frase debería ser más sobria y más exigente:

esto sabemos, esto falta, esto hicimos, esto vamos a revisar, esto puede hacer usted, esto publicaremos después.

No suena tan triunfal.

No queda tan limpia.

No sirve tanto para la placa.

Pero tal vez por eso mismo comunica mejor.

Porque la confianza pública no se recupera actuando como si la confianza siguiera intacta.

Se recupera aceptando que también fue vulnerada.

Y cambiando, además de la cerradura, la forma de hablar de la puerta.

Martín Álvarez
Tremendos Libros
@unfalsoguru

Referencias

Los incidentes de ciberseguridad vinculados a Antel, TuID y HG S.A. abren una discusión que excede el plano técnico. Además de las preguntas sobre datos, accesos, proveedores y reportes, aparece una cuestión comunicacional: cómo informa una institución pública cuando la confianza está comprometida.

El 7 de mayo de 2026, Antel confirmó un ataque al sistema de autenticación de TuID y sostuvo que no se habían vulnerado claves de autenticación ni datos especialmente protegidos. El 15 de mayo, tras un análisis forense, informó que hasta 163 usuarios podrían haber tenido comprometidas minucias de su huella dactilar asociadas al enrolamiento inicial realizado entre febrero y octubre de 2020. La empresa afirmó que notificó a esas personas y que la confiabilidad operativa de la plataforma no se vio afectada.

En paralelo, El Observador informó sobre una filtración atribuida a DeadPresidents vinculada a HG S.A., empresa fundada por Antel y dedicada a soluciones digitales para organismos de gobierno. La nota mencionó credenciales, código fuente, documentación técnica, bases de datos y acceso a servidores. Antel, según coberturas posteriores, sostuvo que el ataque confirmado era el de TuID y que no había evidencia de ataques exitosos contra HG o Ticantel, aunque las investigaciones continuaban.

La tensión central no es si una institución debe ser prudente al comunicar un incidente activo. Esa prudencia puede ser necesaria. El problema aparece cuando la comunicación pública se concentra en declarar confianza sin mostrar con suficiente claridad el proceso que la sostiene.

Confianza y trazabilidad

En una infraestructura digital pública, la confianza no puede funcionar solo como afirmación institucional. Debe apoyarse en trazabilidad: cronologías, alcance, medidas tomadas, usuarios afectados, organismos notificados, auditorías y compromisos de actualización.

La ciudadanía no necesita conocer contraseñas, rutas internas ni detalles forenses sensibles. Sí necesita saber qué ocurrió, qué se descartó, qué permanece en investigación, qué medidas debe tomar y cuándo habrá una nueva comunicación.

El caso muestra una brecha entre el lenguaje técnico-institucional y la experiencia del usuario. Para una empresa, términos como minucias biométricas, credenciales, firma avanzada o análisis forense tienen un sentido específico. Para una persona que usa TuID, esas palabras se conectan con identidad, trámites, firma, cédula y riesgo de suplantación.

El paralelo formal con el Frente Amplio

El paralelismo con el Frente Amplio no es material. Un ciberincidente no equivale a una polémica partidaria. La comparación apunta al modo de comunicación.

En el ensayo sobre el Frente Amplio, el problema era la tensión entre diversidad interna y unidad de acción. La fuerza política puede mostrar sectores, tradiciones y documentos que reconocen pluralidad, pero en situaciones de costo público tiende a reconducir la diferencia hacia una fórmula de unidad.

En ambos casos aparece una estructura parecida: la institución intenta estabilizar una escena mediante una frase de cierre. Antel declara confiabilidad. El Frente Amplio invoca unidad desde la diversidad. Las dos fórmulas pueden tener fundamento, pero pierden eficacia si no exhiben el proceso que las vuelve creíbles.

La falla comunicacional, entonces, no consiste solo en hablar poco o tarde. Consiste en hablar hacia el aparato antes que hacia el público. Antel comunica en un lenguaje cercano al expediente técnico y regulatorio. El Frente Amplio comunica en un lenguaje de pertenencia organizativa. En ambos casos falta una traducción pública suficiente.

Qué debería cambiar

Una respuesta comunicacional más robusta debería distinguir entre hechos confirmados, afirmaciones no verificadas, hipótesis en análisis y medidas adoptadas. También debería establecer plazos de actualización y explicar qué controles independientes permiten sostener la confianza.

En seguridad digital, eso implica cronologías, guías para usuarios, reportes a organismos competentes, auditorías y publicación posterior de aprendizajes. En política partidaria, implica comunicar diferencias internas sin convertir cada corrección en una escena pública de disciplina.

La confianza pública no se recupera repitiendo que sigue intacta. Se reconstruye cuando una institución acepta que fue afectada, muestra cómo actúa y permite que la ciudadanía vea algo más que una conclusión.