Un atacante identificado como Drakonov comprometió al menos nueve sitios oficiales del gobierno de la Ciudad de México en una serie de ataques tipo defacement ocurridos entre el 24 y 25 de marzo. Los hechos están plenamente documentados en el sitio Zone-H, una plataforma internacional que almacena evidencia técnica de sitios hackeados mediante espejos (mirrors) certificados, y fueron también notificados por la firma TPX Security.

Aunque al momento de esta revisión solo uno de los portales vulnerados —correspondiente al municipio de Guadalajara— seguía mostrando la alteración en su contenido, la mayoría de los sitios afectados del gobierno capitalino permanecen inaccesibles, inestables o muestran mensajes como “En construcción”, lo que sugiere que continúan en proceso de recuperación.

Entre los portales comprometidos se encuentra el de plangobiernoabierto.cdmx.gob.mx, que corresponde al portal del Plan de Gobierno Abierto de la CDMX, una iniciativa enfocada en la transparencia, participación ciudadana y rendición de cuentas; asimismo también se encuentran otros subdominios como el de proyectos.metro.cdmx.gob.mx, vinculado a los proyectos estratégicos del Sistema de Transporte Colectivo Metro, y juzgados-civicos.cdmx.gob.mx, donde se consulta sobre los Juzgados Cívicos que atienden faltas administrativas, infracciones de tránsito y audiencias rápidas.

Todos los casos fueron reportados con la misma firma: una imagen de calavera con capucha y el texto en portugués “Hackeando apenas por diversão, devagar e sempre” (“Hackeando solo por diversión, lento pero constante”). La autoría fue reclamada por Drakonov, quien ha documentado públicamente sus acciones en redes sociales, y mantiene un historial de ataques similares contra portales gubernamentales en México y Argentina.

¿Hackeos reales? La evidencia es pública y verificable

A pesar de que en otros incidentes similares algunas autoridades han negado públicamente las intrusiones, en este caso existe evidencia técnica clara en los mirrors generados por Zone-H, una base de datos internacional de seguridad web con más de dos décadas de respaldo en la comunidad de ciberseguridad.

Adicionalmente, la plataforma TPX Security, especializada en el monitoreo de amenazas digitales, clasificó los ataques de Drakonov como parte de una campaña específica contra instituciones gubernamentales, señalando que su actividad comenzó en mayo de 2024 y continúa activa hasta la fecha. TPX registró este último ataque como una ofensiva tipo defacement contra portales de sectores gubernamentales y militares, todos bajo dominios mexicanos.

Las deficiencias estructurales en los portales del gobierno capitalino

Especialistas en ciberseguridad han advertido desde hace tiempo que la infraestructura digital de la Ciudad de México presenta deficiencias técnicas graves, particularmente en lo relativo a la configuración de puertos y exposición de servicios innecesarios.

Uno de estos expertos, Víctor Ruiz, fundador de la firma SILIKN, alertó en noviembre de 2024 sobre los riesgos que implicaban los sitios con dominio cdmx.gob.mx:

“Al hacer una revisión del sitio cdmx.gob.mx encontramos que presenta alrededor de 165 puertos abiertos, lo cual es una mala práctica porque aumenta la superficie de ataque, lo que facilita que los ciberdelincuentes encuentren vulnerabilidades. Los puertos abiertos actúan como puntos de entrada que, si no están bien configurados o protegidos, pueden ser explotados para lanzar varios tipos de ciberataques, como ya ha sucedido.”

Ruiz agregó que:

“Dejar puertos abiertos que no son esenciales para el funcionamiento de un servicio web aumenta el riesgo sin aportar beneficios, ya que muchos de estos puertos están asociados a servicios con vulnerabilidades conocidas que, si no se han corregido, pueden ser explotadas. Además, los atacantes pueden escanear fácilmente estos puertos para obtener información sobre los servicios y sistemas del servidor, lo que les proporciona una ventaja en la planificación de un ataque.”

Entre los tipos de ataques a los que pueden estar expuestos estos sistemas se encuentran los ataques de denegación de servicio distribuida (DDoS):

“Los criminales pueden apuntar a puertos específicos para abrumar el sistema con tráfico y causar la interrupción del servicio”.

¿Quién es Drakonov y por qué importa?

Drakonov es un atacante que desde mayo de 2024 ha llevado a cabo al menos 31 ataques tipo defacement, principalmente contra instituciones públicas en México y Argentina. En todos los casos, su firma visual y estilo son consistentes, lo que ha permitido rastrear su actividad con claridad. 

Según el historial publicado por Zone-H y TPX Security, sus objetivos han sido exclusivamente sitios gubernamentales, lo que sugiere una especialización en explotar debilidades en portales oficiales.

Si bien sus acciones no han implicado, hasta ahora, filtración de datos o secuestro de información, el defacement representa una señal clara de acceso no autorizado. Como señalan los expertos, puede considerarse el equivalente digital a que alguien haya ingresado físicamente a un edificio público solo para pintar las paredes: no se robó nada, pero la puerta estaba abierta.

Los sitios reportados como afectados por Drakonov son:

• plangobiernoabierto.cdmx.gob.mx
• placasmovilidad.cdmx.gob.mx
• proyectos.metro.cdmx.gob.mx
• registros.acelerometricos.cdmx.gob.mx
• rivcm.semujeres.cdmx.gob.mx
• siife.ilife.cdmx.gob.mx
• juzgados-civicos.cdmx.gob.mx
• centroenlinea.cdmx.gob.mx/promos/pwn.html
• tianguisdigital.mb.cdmx.gob.mx