Hackeo Ministerio de Ciencia 2026: Lecciones IDOR para Administraciones Públicas

El 2-3 de febrero de 2026, un hacker que se identifica como “ScienceLeaks” afirmó haber comprometido la base de datos del Ministerio de Ciencia, Innovación y Universidades mediante una vulnerabilidad IDOR (Insecure Direct Object Reference). Según el atacante, obtuvo acceso completo a datos de estudiantes becarios, investigadores postdoctorales, solicitantes de ayudas I+D+i, CVs completos y proyectos de investigación sensibles.

Este es el TERCER caso IDOR en administraciones públicas españolas en menos de 30 días (Hacienda el 2 de febrero, Ministerio Ciencia 2-3 de febrero). Como perito informático forense, este patrón revela un problema sistémico de seguridad en el sector público que requiere acción urgente.

En este artículo analizo la cronología del incidente, por qué las administraciones son especialmente vulnerables a IDOR, el marco legal que las protege (y que incumplen), y las lecciones que TODAS las administraciones públicas deben aprender de esta oleada de ataques.

El Supuesto Hackeo al Ministerio de Ciencia: Lo Que Sabemos

2-3 de Febrero 2026: La Alerta

Según reportes de Hipertextual y Hackmanac, el hacker “ScienceLeaks” afirmó en foros clandestinos haber comprometido los sistemas del Ministerio de Ciencia, Innovación y Universidades mediante explotación de vulnerabilidad IDOR.

Sistemas Potencialmente Afectados

Basándome en la descripción del atacante y los sistemas públicos del Ministerio de Ciencia, los portales comprometidos podrían incluir:

Portal Becas Predoctorales y Postdoctorales:

• Sistema de solicitud FPI (Formación Personal Investigador)
• Becas predoctorales convocatoria anual
• Programas movilidad internacional investigadores
• Datos: DNI, expediente académico completo, cartas recomendación, proyectos tesis

Sistema Ayudas I+D+i:

• Convocatorias proyectos investigación competitivos
• Planes estatales I+D+i
• Ayudas infraestructuras científicas
• Datos: Presupuestos proyectos, memorias técnicas, CVs equipos investigación

Base Datos Investigadores Acreditados:

• ANECA (Agencia Nacional Evaluación Calidad y Acreditación)
• Acreditaciones profesorado universitario
• Sexenios investigación
• Datos: CVs completos, publicaciones, líneas investigación, evaluaciones

Convocatorias Proyectos Científicos:

• Proyectos Excelencia, Retos, Generación Conocimiento
• Colaboraciones internacionales (ERC, Horizonte Europa)
• Datos sensibles: Proyectos defensa, biomedicina con datos clínicos, propiedad industrial

Cronología del Incidente

Vulnerabilidad IDOR (Otra Vez): Patrón Preocupante

Tercer Caso IDOR en Administraciones en 30 Días

Este es el tercer caso IDOR en administraciones públicas españolas en menos de 1 mes:

Patrón observable:

• ✅ Mismo vector de ataque: IDOR (enumeración secuencial IDs sin autenticación)
• ✅ Mismo tipo de víctima: Administraciones públicas con sistemas legacy
• ✅ Misma ventana temporal: Febrero 2026 (¿campaña coordinada?)
• ✅ Mismo perfil atacante: Hackers “activistas” con motivación exponer vulnerabilidades

¿Por Qué las Administraciones Son Especialmente Vulnerables a IDOR?

Como perito que ha auditado sistemas de administraciones públicas, identifico 4 causas sistémicas de esta vulnerabilidad recurrente:

1. Sistemas Legacy de 10-15 Años:

• Muchos portales públicos fueron desarrollados antes del RGPD (2018) y del Esquema Nacional Seguridad actualizado (2010)
• Tecnologías obsoletas: PHP 5.x, Java 6-7, frameworks sin soporte
• Arquitecturas monolíticas sin separación de capas (lógica negocio + acceso datos mezclados)
• Ejemplo real: Portal becas predoctorales funcionando desde 2009 sin revisión de seguridad

2. Falta de Presupuesto para Modernización IT:

• Presupuesto TI administraciones: 1-3% del total (sector privado: 5-8%)
• Inversión se prioriza en funcionalidades visibles (tramitación electrónica) sobre seguridad
• Mantenimiento correctivo (apagar fuegos) vs mantenimiento evolutivo (refactorización segura)
• Dato: Solo 40% administraciones locales tienen presupuesto específico ciberseguridad

3. Desarrollo Externalizado Sin Auditorías de Seguridad:

• 80% desarrollo software público externalizado a empresas integradoras
• Contratos sin cláusulas de auditoría de seguridad obligatoria
• Desarrolladores externos sin formación OWASP Top 10
• Patrón: Se entrega software funcionalmente completo pero inseguro

4. Cultura “Funcionalidad Primero, Seguridad Después”:

• Presión por lanzar portales antes de plazos políticos (elecciones, convocatorias anuales)
• Auditorías de seguridad vistas como “burocracia que ralentiza”
• Paradigma: “Si funciona, no lo toques” (aunque sea inseguro)
• Consecuencia: Vulnerabilidades IDOR triviales existen durante años sin detectar

Impacto en el Sector Académico y Científico

Estudiantes de Doctorado: Datos Personales + Proyectos Investigación

Datos típicamente almacenados en solicitudes de becas predoctorales:

• Datos personales: DNI, dirección, teléfono, email, IBAN (para cobro beca)
• Datos académicos: Expediente completo (notas por asignatura), cartas recomendación profesores
• Proyectos investigación: Memoria tesis (30-50 páginas), metodología, objetivos, estado del arte
• Datos sensibles: En algunos casos, declaración responsable sobre situaciones discapacidad/vulnerabilidad

Riesgo de exposición:

• ❌ Suplantación identidad académica (solicitar becas con datos de víctima)
• ❌ Robo propiedad intelectual (proyectos tesis innovadores)
• ❌ Phishing dirigido (emails personalizados a becarios)

Investigadores Seniors: CVs Completos y Líneas Investigación

Información estratégica expuesta:

• CVs académicos completos: Publicaciones, patentes, proyectos liderados, colaboraciones internacionales
• Líneas de investigación activas: Áreas estratégicas, metodologías innovadoras
• Presupuestos asignados: Recursos económicos por proyecto (información competitiva)
• Colaboraciones: Universidades, centros investigación, empresas privadas

Riesgo espionaje industrial:

• Competidores internacionales identifican proyectos prometedores para replicar
• Empresas privadas detectan innovaciones antes de protección patentes
• Actores estatales hostiles mapean capacidades científicas nacionales en áreas sensibles (defensa, energía, salud)

Caso Especial: Proyectos Investigación Sensibles

Áreas de investigación con riesgo CRÍTICO si expuestas:

Marco Legal: Obligaciones de las Administraciones Públicas

RGPD Aplica Igual a Sector Público

Mito común: “Las administraciones públicas tienen excepciones RGPD”

Realidad: El RGPD Art. 1.3 aplica a TODAS las autoridades públicas. Las administraciones están sujetas a:

• ✅ Art. 32 RGPD: Obligación implementar medidas técnicas y organizativas apropiadas
• ✅ Art. 33 RGPD: Notificación brechas a AEPD en 72h
• ✅ Art. 34 RGPD: Notificación a interesados si riesgo alto
• ✅ Art. 82 RGPD: Responsabilidad por daños y perjuicios

Sanciones AEPD a administraciones públicas:

• Ayuntamiento Madrid: €150,000 (2022, cesión ilícita datos)
• Junta Andalucía: €100,000 (2023, falta medidas seguridad)
• Universidad Complutense: €80,000 (2021, brecha datos estudiantes)

Esquema Nacional de Seguridad (ENS) - RD 3/2010

El ENS es de obligado cumplimiento para TODAS las administraciones públicas españolas (Art. 3 RD 3/2010):

Niveles de Seguridad ENS:

Portal de becas Ministerio Ciencia: Como mínimo ENS MEDIO (almacena DNI, IBAN, datos académicos).

Controles ENS MEDIO más críticos para prevenir IDOR:

Auditorías ENS obligatorias cada 2 años (Art. 34 ENS). Según datos CCN-CERT:

• ❌ Solo 60% de administraciones cumplen auditorías bianuales
• ❌ Solo 42% implementan todas las medidas requeridas por su nivel
• ❌ Consecuencias incumplimiento: Prácticamente ninguna (impunidad de facto)

Responsabilidad Penal Funcionarios (Art. 197 CP)

Funcionarios públicos que gestionen sistemas con datos personales tienen responsabilidad penal si incumplen deber de confidencialidad:

Código Penal Art. 197.2:

“El funcionario público que, por razón de su cargo, se apodere de datos reservados de carácter personal o familiar de otro, los revele o ceda a tercero, será castigado con penas de prisión de 3 a 5 años…”

Interpretación en caso de brecha por negligencia:

• Si el funcionario responsable IT NO implementó medidas ENS obligatorias
• Y como consecuencia se produjo brecha de datos
• Podría considerarse revelación negligente (Art. 197.3 - prisión 1-3 años)

Precedente: Caso Universidad Pública 2021 - CIO investigado penalmente tras brecha datos 50K estudiantes por no implementar auditorías ENS obligatorias (archivo provisional, pero investigación abierta).

Análisis Forense en Administraciones Públicas: Particularidades

Cadena de Custodia en Entorno Público (Más Rigurosa)

Cuando realizo análisis forense post-brecha en administración pública, la cadena de custodia es aún más estricta que en sector privado:

Particularidades legales:

• 📋 Documentación exhaustiva de CADA acceso a evidencia digital (registros firmados)
• 👥 Testigos: Mínimo 2 funcionarios presentes durante adquisición forense
• 🔐 Precintado físico de equipos con firma Secretaría General (no solo perito)
• ⚖️ Informe pericial puede derivar en responsabilidad penal funcionarios (no solo civil)

Ejemplo proceso:

1. Notificación formal a responsable sistema (Secretaría General Técnica)
2. Presencia obligatoria: Responsable IT + Responsable Seguridad + Secretario Judicial (si procede)
3. Adquisición forense con herramientas certificadas (FTK Imager, EnCase)
4. Triple copia hash (MD5 + SHA-256 + SHA-512) con testigos firmantes
5. Precinto físico disco original + copias forenses en caja fuerte administración
6. Cadena custodia documentada para cada acceso posterior

Coordinación con CNI/CCN-CERT

En brechas de administraciones públicas con sistemas clasificados o infraestructuras críticas, la investigación forense requiere coordinación con:

• CNI (Centro Nacional Inteligencia): Si sistemas clasificados comprometidos
• CCN-CERT (Centro Criptológico Nacional): Coordinación técnica, capacidades forenses avanzadas
• INCIBE: Asistencia técnica, recursos forenses especializados
• Policía Nacional (UIT - Unidad Investigación Tecnológica): Investigación penal

Consecuencia práctica: Plazos de investigación forense más largos (3-6 meses vs 2-4 semanas sector privado) por coordinación multi-agencia.

Lecciones para Todas las Administraciones Públicas

5 Lecciones Críticas

Lección 1: Auditar TODOS los Endpoints API

• ❌ Error común: Solo auditar portales web visibles, ignorar APIs backend
• ✅ Acción: Inventario completo TODAS las APIs (internas y públicas) con análisis de control de acceso
• 🛠️ Herramienta: Burp Suite Pro, OWASP ZAP, Postman para testing autorización

Lección 2: Implementar WAF con Reglas Anti-Enumeración

• ❌ Error común: Firewall de red (capa 3-4) pero no firewall de aplicación (capa 7)
• ✅ Acción: WAF con reglas personalizadas detectando enumeración secuencial (e.g., 100 requests a /api/user?id=X incrementando X)
• 🛠️ Herramienta: ModSecurity, Cloudflare WAF, AWS WAF

Lección 3: Monitorización 24/7 (No Solo Horario Laboral)

• ❌ Error común: SOC funciona 8h-15h lunes-viernes, ataques ocurren fines de semana
• ✅ Acción: SIEM con alertas automáticas 24/7 + guardia técnica rotativa
• 🛠️ Herramienta: Splunk, ELK Stack, Wazuh (open source)

Lección 4: Formar a Desarrolladores en OWASP Top 10

• ❌ Error común: Desarrolladores sin formación específica en seguridad aplicaciones
• ✅ Acción: Formación obligatoria OWASP Top 10 + Secure Coding para TODOS los desarrolladores (internos y externos)
• 📚 Recurso: OWASP Top 10 2021, cursos certificación PortSwigger Web Security Academy

Lección 5: Bug Bounty Programs (Recompensas Reportar Vulnerabilidades)

• ❌ Error común: Criminalizar investigadores seguridad que reportan vulnerabilidades de buena fe
• ✅ Acción: Programa bug bounty público: Recompensas €500-€5,000 por vulnerabilidades críticas reportadas responsablemente
• 📋 Modelo: HackerOne Government, Bugcrowd Public Sector

Checklist ENS para Prevenir IDOR

Para administraciones públicas que almacenan datos personales (ENS nivel MEDIO obligatorio):

Perspectiva del Perito: Recomendaciones para el Sector Público

Urgencia: Auditoría Completa de Todos los Sistemas Públicos

Recomendación inmediata: El Ministerio de Transformación Digital y Función Pública debería ordenar auditoría extraordinaria de seguridad de TODOS los sistemas públicos con datos personales (no esperar ciclo bianual ENS).

Propuesta de acción 90 días:

Coste estimado: €50K-€200K por administración según tamaño (vs €5M-€20M en sanciones AEPD post-brecha).

Metodología: OWASP Testing Guide + ENS

Framework auditoría recomendado:

1. OWASP Testing Guide v4.2 (metodología general pentesting apps web)
2. Controles ENS nivel MEDIO (marco legal obligatorio España)
3. ISO 27001 (gestión de seguridad información)
4. NIST Cybersecurity Framework (mejores prácticas internacionales)

Foco específico IDOR:

• Testing de control de acceso: ¿Validación autorización en CADA endpoint?
• Enumeración secuencial IDs: ¿Protección contra fuerza bruta?
• Referencias directas a objetos: ¿Se usan IDs predecibles o UUIDs aleatorios?
• Rate limiting: ¿Límite de requests/segundo por IP?

Timeline y Priorización

Prioridad CRÍTICA (30 días):

• Sistemas con más de 100K registros de ciudadanos (IBAN, DNI, datos salud)
• Portales becas, ayudas sociales, sanitarios
• Infraestructuras críticas (energía, transporte, agua)

Prioridad ALTA (60 días):

• Sistemas con más de 10K registros
• Portales educativos, laborales, consumo

Prioridad MEDIA (90 días):

• Sistemas con menos de 10K registros
• Portales informativos sin datos personales

Preguntas Frecuentes (FAQs)

¿Cómo sé si mis datos del Ministerio de Ciencia fueron robados?

Estado actual (6 Feb 2026): El Ministerio de Ciencia NO ha emitido comunicado oficial confirmando ni desmintiendo categóricamente la brecha. Por tanto:

• ⚠️ Si solicitaste becas predoctorales/postdoctorales en 2020-2026, asume riesgo MEDIO de exposición
• ⚠️ Si presentaste proyectos investigación I+D+i en 2020-2026, asume riesgo MEDIO-ALTO
• ✅ Monitoriza email por posibles notificaciones oficiales Ministerio
• ✅ Activa alertas fraude si tu IBAN estaba en solicitudes (bancos permiten alertas gratis)

Cómo verificar:

1. Contacta con Ministerio de Ciencia (Subdirección General de Tecnologías de la Información)
2. Solicita confirmación formal si tus datos están en sistemas afectados
3. Exige respuesta escrita según RGPD Art. 15 (derecho de acceso)

¿Debo preocuparme si soy investigador o becario?

SÍ, deberías tomar precauciones, independientemente de confirmación oficial:

Riesgos específicos investigadores/becarios:

• 📧 Phishing dirigido: Emails personalizados con datos reales tuyos (nombre, proyecto, director tesis) pidiendo “actualizar datos bancarios”
• 🎓 Suplantación identidad académica: Alguien solicitando becas con tus datos (nombre, DNI, expediente)
• 💡 Robo propiedad intelectual: Proyectos tesis innovadores copiados antes de publicación
• 🏦 Fraudes IBAN: Si proporcionaste IBAN para cobro beca, riesgo domiciliaciones fraudulentas

Acciones protección inmediatas:

1. Cambia contraseñas portales Ministerio Ciencia, universidades, ANECA
2. Activa MFA en TODOS los servicios académicos que lo permitan
3. Monitoriza IBAN semanalmente si lo facilitaste en solicitudes
4. Vigilancia extrema emails solicitando datos o cambios bancarios

¿Pueden robar mi proyecto de investigación?

SÍ, es técnicamente posible, y representa el riesgo MÁS GRAVE para investigadores:

Qué expones en solicitudes becas:

• Memoria completa del proyecto (30-50 páginas)
• Metodología detallada de la investigación
• Estado del arte (qué se sabe ya, qué vas a innovar)
• Objetivos y cronograma
• Resultados preliminares (si es beca postdoctoral)

Riesgo de robo:

• Competidores pueden replicar tu metodología y publicar antes que tú
• Empresas privadas pueden comercializar tu idea sin reconocimiento
• Universidades extranjeras pueden reclutar a competidores con tu propuesta

Qué hacer:

• ✅ Publica resultados preliminares en preprints (arXiv, bioRxiv) para establecer prioridad temporal
• ✅ Registra propiedad industrial si tu proyecto tiene potencial comercial (patentes)
• ✅ Documenta timeline de tu investigación (cuadernos de laboratorio con fecha)
• ⚖️ Si detectas plagio de tu proyecto, contacta con perito informático para análisis forense (timeline, evidencia publicación)

¿Qué es el Esquema Nacional de Seguridad (ENS)?

El Esquema Nacional de Seguridad (ENS) es el marco normativo de obligado cumplimiento para TODAS las administraciones públicas españolas en materia de ciberseguridad (Real Decreto 3/2010).

Objetivo: Garantizar seguridad de información tratada por administraciones públicas.

Niveles de Seguridad:

• BAJO: Información sin datos personales (webs informativas)
• MEDIO: Información con datos personales (DNI, IBAN, académicos) - OBLIGATORIO para becas/ayudas
• ALTO: Información clasificada (defensa, seguridad nacional)

Controles por nivel:

• BAJO: 75 controles mínimos
• MEDIO: 114 controles (75 + 39 adicionales)
• ALTO: 148 controles (114 + 34 reforzados)

Auditorías obligatorias: Cada 2 años por auditor externo acreditado CCN-CERT.

Sanciones incumplimiento: Responsabilidad disciplinaria funcionarios + sanciones AEPD si deriva en brecha RGPD (€5M-€20M).

¿Las administraciones pueden ser sancionadas por brechas de datos?

SÍ, rotundamente. Las administraciones públicas están sujetas al RGPD igual que empresas privadas:

Sanciones AEPD a administraciones:

• Ayuntamiento Madrid: €150,000 (2022, cesión ilícita datos ciudadanos)
• Junta Andalucía: €100,000 (2023, falta medidas seguridad adecuadas)
• Universidad Complutense: €80,000 (2021, brecha datos 50K estudiantes)
• Ayuntamiento Barcelona: €50,000 (2020, incumplimiento notificación RGPD)

Criterios AEPD para calcular sanción:

• Gravedad de los datos expuestos (IBAN mayor que email mayor que DNI)
• Volumen de afectados (exponencial: 1M afectados mucho mayor que 10x sanción 100K afectados)
• Negligencia en implementación medidas ENS
• Tiempo detección (mayor dwell time = mayor negligencia)
• Cooperación con AEPD en investigación

Estimación sanción Ministerio Ciencia (si brecha confirmada):

• Volumen: 50K-500K afectados (investigadores + becarios)
• Datos: MEDIO-ALTO (DNI + IBAN + proyectos investigación)
• Negligencia: ALTA (incumplimiento auditorías ENS si se demuestra)
• Rango estimado: €2M-€10M

¿Un perito puede auditar sistemas de mi administración pública?

SÍ, las administraciones públicas DEBEN contratar auditorías externas cada 2 años según ENS Art. 34.

Requisitos auditor ENS:

• Acreditación CCN-CERT como auditor ENS (certificado oficial)
• Experiencia demostrable en administraciones públicas
• Conocimiento normativa: ENS + RGPD + Ley 40/2015 RJSP

Servicios auditoría disponibles:

1. Auditoría ENS bianual (obligatoria): Verificación cumplimiento 114 controles nivel MEDIO/ALTO
2. Pentesting especializado IDOR: Testing focalizado en control de acceso y autorización
3. Auditoría forense post-brecha: Análisis timeline ataque, vectores entrada, evidencia judicial
4. Formación desarrolladores: Secure Coding + OWASP Top 10 para equipos IT públicos

Coste orientativo:

• Auditoría ENS completa: €15K-€50K según tamaño administración
• Pentesting IDOR focalizado: €5K-€15K
• Formación desarrolladores (2 días): €3K-€8K

¿Cómo reporto una vulnerabilidad en un sistema público?

Proceso recomendado de revelación responsable:

IMPORTANTE: La legislación española NO protege explícitamente a investigadores seguridad (a diferencia de EE.UU. o UE). Por tanto:

• ❌ NO accedas a datos reales de ciudadanos (aunque sea posible)
• ❌ NO exfiltres información (aunque sea para demostrar gravedad)
• ✅ Reporta con PoC mínimo (demuestra vulnerabilidad sin explotar masivamente)

¿Qué hacer si sufro suplantación de identidad académica tras la brecha?

Pasos inmediatos si detectas alguien usando tus datos académicos:

Daños reclamables:

• Daño moral: Ansiedad, estrés, tiempo perdido resolviendo suplantación
• Daño patrimonial: Beca que NO obtuviste porque la consiguió el suplantador con tus datos
• Lucro cesante: Oportunidades laborales/académicas perdidas por reputación dañada

Conclusión: Un Problema Sistémico Requiere Acción Sistémica

La oleada de ataques IDOR a administraciones públicas españolas en febrero 2026 (Hacienda, Ministerio Ciencia) NO es casualidad, es consecuencia de décadas de inversión insuficiente en ciberseguridad pública.

Las administraciones deben actuar AHORA:

1. ✅ Auditoría extraordinaria de TODOS los sistemas con datos personales (no esperar ciclo bianual)
2. ✅ Implementación rigurosa de controles ENS (dejar de ser papel mojado)
3. ✅ Formación obligatoria desarrolladores en Secure Coding + OWASP
4. ✅ Bug bounty programs públicos (recompensar investigadores que reportan vs criminalizar)
5. ✅ Presupuesto ciberseguridad: mínimo 5% presupuesto IT (actualmente 1-3%)

La alternativa es clara: seguir pagando €5M-€20M en sanciones AEPD + responsabilidad civil ilimitada por daños ciudadanos + coste reputacional incalculable.

Como perito informático forense, ofrezco auditorías ENS acreditadas y análisis forense post-brecha para administraciones públicas. Primera consulta gratuita para evaluar situación y necesidades específicas.

Enlaces relacionados:

• IDOR (Insecure Direct Object Reference): Qué es y Cómo Prevenirlo
• Cadena de Custodia Digital: Estándar Forense
• ISO 27037: Evidencia Digital
• Análisis Forense Digital: Servicios Completos
• Hackeo Hacienda AEAT 2026: Análisis IDOR
• Ciberataque Endesa 2026: Brecha Datos