Durante dos semanas, los servidores que gestionan los datos de la seguridad social de millones de italianos estuvieron bajo el control de un grupo de hackers vinculado a China. Sin ransomware, sin peticiones de rescate: solo recopilación silenciosa y sistemática de información. El objetivo de Salt Typhoon —así se llama el grupo— no es el dinero. Es saberlo todo de todos. La noticia salió a la luz en los primeros días de mayo de 2026 y afecta a Sistemi Informativi, una empresa controlada por IBM que gestiona la infraestructura digital del INPS (Instituto Nacional de la Seguridad Social italiano), el INAIL (Instituto Nacional de Seguros contra Accidentes Laborales), ministerios y parte del sistema sanitario nacional.

Si has cotizado, tienes un expediente en la seguridad social o un accidente laboral registrado, tus datos estaban allí.

Qué ha pasado: dos semanas invisibles

Salt Typhoon está clasificado como APT (Advanced Persistent Threat, amenaza persistente avanzada): no entra, golpea y sale. Entra, se esconde y se queda. Durante semanas, a veces meses. El objetivo no es destruir datos ni pedir rescates, sino exfiltrarlos silenciosamente: copiarlos, mandarlos a algún sitio y desaparecer sin dejar rastros evidentes.

En este caso, los atacantes habrían permanecido activos durante unas dos semanas antes de que los técnicos internos, con el apoyo de la Agenzia per la Cybersicurezza Nazionale (ACN, Agencia Nacional de Ciberseguridad), se dieran cuenta de la intrusión. ¿Cómo entraron? Según las primeras reconstrucciones, a través de una clave API comprometida asociada a un sistema en la nube. No fue un ataque sofisticado al estilo de Hollywood: una puerta dejada entreabierta en la arquitectura informática de un proveedor que gestiona datos del Estado.

Sistemi Informativi trabaja con el INPS, el INAIL, la nube nacional de la administración pública, los proyectos digitales del PNRR (Plan Nacional de Recuperación y Resiliencia) y el sistema sanitario. Es, en la práctica, el corazón informático de la administración pública italiana. Y durante dos semanas, alguien vivió dentro de él.

Qué arriesgas tú, en concreto

La pregunta que todos se hacen es: ¿me han robado mis datos? La respuesta honesta, por ahora, es que nadie lo sabe con certeza. La ACN ha declarado que está trabajando para determinar “el origen y el posible impacto del ataque”. Los sistemas han sido estabilizados y los servicios restablecidos. Pero nadie es capaz de decir con precisión qué datos han sido exfiltrados.

Lo que sí sabemos es el tipo de datos a los que estos sistemas tenían acceso:

  • Datos del INPS: cotizaciones abonadas, situación laboral, situación de ingresos, historial contractual, información sobre pensiones y prestaciones sociales.
  • Datos del INAIL: accidentes laborales, enfermedades profesionales, información médica y de seguros.
  • Datos ministeriales y sanitarios: según qué nodos hayan sido realmente comprometidos.

Salt Typhoon no actúa para el mercado negro de datos. Actúa para el Estado chino, con objetivos geopolíticos: perfilado de funcionarios públicos, trabajadores de sectores sensibles, personas con cargos institucionales. Pero en un sistema donde los datos de 60 millones de italianos están agregados en una única infraestructura, incluso los “ciudadanos normales” se vuelven potencialmente interesantes como vectores indirectos.

El problema sistémico: tus datos no son tuyos

Este ataque plantea una cuestión que va mucho más allá de Salt Typhoon: el modelo con el que la administración pública italiana gestiona los datos de los ciudadanos es intrínsecamente vulnerable. Centralizarlo todo en una única infraestructura, confiada a un proveedor privado (IBM, en este caso concreto), crea un blanco enorme. Un único punto de fallo que, si se ve comprometido, expone a millones de personas al mismo tiempo.

No elegiste confiar tus datos de la seguridad social a Sistemi Informativi. No firmaste nada. Y sin embargo tus datos estaban allí, y ahora podrían estar en manos desconocidas.

Esta es la paradoja de la soberanía digital ausente: el Estado recopila tus datos por obligaciones legales, los delega en entidades privadas, y cuando estas se ven vulneradas, tú no eres parte del asunto. Eres simplemente el interesado que recibirá, quizás, una notificación tardía.

Qué puedes hacer (aunque no puedas “protegerte” de esto)

Ser honestos es importante: no existe nada que puedas hacer para impedir que el INPS conserve tus datos de cotización. Son obligatorios por ley. Pero hay algunas acciones concretas que tiene sentido emprender:

Vigila tu identidad digital. Usa servicios como HaveIBeenPwned para comprobar si tus correos electrónicos han aparecido en filtraciones anteriores. No resuelve este caso, pero te da una visión general de tu exposición.

Activa la autenticación de dos factores en todas partes. Si te han robado los datos y alguien intenta usarlos para acceder a tus cuentas, el 2FA es tu última línea de defensa.

Desconfía de las comunicaciones inesperadas. Tras una filtración de esta magnitud, aumentan los intentos de phishing dirigido (spear phishing): correos o SMS que usan información real sobre ti para parecer creíbles. No hagas clic en enlaces de comunicaciones que no hayas solicitado.

Separa tu identidad digital donde puedas. Usa alias de correo para los servicios en línea, no reutilices las mismas credenciales, considera un gestor de contraseñas como Vaultwarden (hablaremos de ello en nuestra serie sobre self-hosting).

Conclusión

El ataque de Salt Typhoon a Sistemi Informativi IBM no es un episodio aislado: es una señal de lo estructuralmente frágil que es la ciberseguridad de la administración pública italiana, y de hasta qué punto los datos de los ciudadanos están expuestos a riesgos que nadie les pidió nunca que aceptaran. No puedes salir del sistema de la seguridad social. Pero sí puedes empezar a construir a tu alrededor una higiene digital que limite los daños cuando —no si— llegue la próxima filtración.

Fuentes: