Más allá de los ataques personales y las acusaciones de sus responsables, el episodio deja preguntas incómodas sobre capacidad técnica, procedimientos, exposición de funcionarios y la forma en que Uruguay intenta responder a amenazas digitales que operan sobre infraestructuras globales.
La publicación difundida por Samaritan contra AGESIC está escrita deliberadamente para humillar. Mezcla críticas técnicas, insultos, información personal de un funcionario, datos obtenidos de filtraciones y cuestionamientos al Estado uruguayo.
Pero quedarse en esa confrontación sería perder de vista lo verdaderamente importante.
Porque detrás del tono provocador aparece un problema institucional bastante más interesante: qué ocurre cuando un Estado intenta actuar contra una infraestructura digital distribuida, alojada fuera de su jurisdicción y diseñada precisamente para resistir este tipo de intervenciones.
Y, sobre todo, qué ocurre cuando durante ese proceso se cometen errores que el adversario puede utilizar en su propio beneficio.
Un correo que terminó del otro lado
Según la documentación publicada por Samaritan, el 6 de agosto CERTuy envió una comunicación relacionada con el dominio samaritan-api.top, solicitando diferentes acciones sobre la infraestructura y la preservación de información asociada al servicio.
Samaritan sostiene que el mensaje terminó llegando también a una dirección de correo utilizada como contacto proxy en el registro WHOIS del dominio.
El punto técnico es importante.
Los servicios de privacidad de WHOIS permiten ocultar los datos reales del titular de un dominio sustituyéndolos por información intermediaria. Una dirección que aparece en ese registro no necesariamente pertenece al registrador, al proveedor de hosting ni a la organización capaz de ejecutar las acciones solicitadas.
De acuerdo con la versión publicada por Samaritan, esa confusión permitió que los propios operadores del servicio recibieran una copia de las gestiones realizadas contra ellos.
No contamos con una explicación pública de CERTuy que permita reconstruir todo el procedimiento interno, por lo que sería apresurado determinar exactamente cómo se produjo el error o qué verificaciones se realizaron previamente.
Pero el episodio permite plantear una cuestión más amplia.
En operaciones contra infraestructura hostil, identificar correctamente quién controla cada componente no es un detalle administrativo. Es parte de la operación.
Dominio, registrador, proveedor de privacidad, DNS, CDN, hosting, servidores backend y operadores pueden estar distribuidos entre múltiples empresas y jurisdicciones.
Confundir esos niveles puede hacer que una acción sea ineficaz.
Peor todavía: puede avisarle al adversario.
El problema no es equivocarse: es qué revela el error
CERTuy no es simplemente una oficina administrativa.
Según su propia definición institucional, es el Centro Nacional de Respuesta a Incidentes de Seguridad Informática y tiene entre sus responsabilidades centralizar y coordinar la respuesta a incidentes, desarrollar tareas preventivas y proteger activos críticos de información del Estado.
También presta servicios de análisis forense, respuesta a incidentes, monitoreo 24x7, ethical hacking y gestión de vulnerabilidades.
Por eso un episodio de estas características merece un estándar de análisis diferente.
Una organización de ciberseguridad puede cometer errores. También pueden hacerlo los mejores equipos de respuesta a incidentes del mundo.
La pregunta relevante es si existen procedimientos suficientemente robustos para impedir que un error individual comprometa una operación institucional.
Antes de contactar infraestructura vinculada con una amenaza deberían existir, entre otras cosas, mecanismos de validación técnica del activo, identificación del proveedor correspondiente, revisión de jurisdicción, evaluación del canal de contacto y determinación de qué información resulta conveniente revelar.
En otras palabras: una suerte de OPSEC institucional.
Si una comunicación destinada a interrumpir una infraestructura termina proporcionando al objetivo información sobre qué sabe el Estado, qué infraestructura identificó, qué acciones pretende realizar y quién está participando de ellas, el problema deja de ser simplemente burocrático.
Se convierte en inteligencia para el adversario.
Cuando el objetivo está fuera de Uruguay
El episodio también muestra una dificultad estructural que enfrentan prácticamente todos los Estados pequeños: Internet es global, pero buena parte de las capacidades legales siguen siendo territoriales.
Un dominio puede registrarse en una empresa estadounidense, utilizar servicios de privacidad, resolver DNS mediante otra compañía, protegerse detrás de una CDN y terminar conectado con servidores alojados en otra jurisdicción.
Mientras tanto, sus operadores pueden encontrarse físicamente en un cuarto país.
Samaritan cuestiona en su publicación la utilización de legislación uruguaya en las comunicaciones enviadas a proveedores extranjeros y sostiene que CERTuy carecía de autoridad para realizar determinadas exigencias.
La publicación presenta esa cuestión desde una posición interesada y no constituye una interpretación jurídica independiente.
Pero el problema subyacente es real.
¿Qué capacidad efectiva tiene Uruguay para actuar rápidamente contra infraestructura digital alojada fuera del país?
La respuesta moderna a incidentes necesita algo más que capacidades técnicas. Requiere relaciones internacionales, cooperación entre CERT, mecanismos judiciales, contacto con proveedores globales y procedimientos capaces de distinguir rápidamente entre una solicitud voluntaria de colaboración, un reporte de abuso y una exigencia jurídicamente vinculante.
La velocidad importa.
Una infraestructura maliciosa puede migrar en horas.
El Estado también necesita proteger a quienes lo defienden
Hay otro aspecto del episodio que debería generar preocupación.
Después de recibir la comunicación, Samaritan identificó al funcionario que aparecía en ella y publicó una investigación sobre su identidad y su huella digital.
La publicación incluye correlaciones provenientes de filtraciones de datos, cuentas históricas, direcciones de correo, nombres de usuario y otra información personal.
No es necesario reproducir esos datos para entender el mensaje.
El propio funcionario se convirtió en objetivo.
Eso introduce una pregunta que trasciende completamente a esa persona: ¿qué nivel de protección reciben los funcionarios que intervienen directamente contra actores potencialmente hostiles?
Los equipos de respuesta a incidentes, investigadores, policías, fiscales y analistas que participan en investigaciones digitales pueden enfrentarse a doxing, phishing dirigido, amenazas, exposición de familiares, credential stuffing o campañas de intimidación.
La seguridad operacional de estas personas debería formar parte del diseño institucional.
No alcanza con proteger servidores.
También hay que proteger a quienes los defienden.
El punto más polémico: los datos del Estado
Samaritan intenta además construir una equivalencia entre su actividad y los mecanismos mediante los cuales el Estado uruguayo permite consultar determinada información pública.
Aquí es necesario separar los hechos de la narrativa.
Uruguay posee una Plataforma de Interoperabilidad administrada por AGESIC que permite integrar servicios ofrecidos por distintos organismos públicos. En 2025, el Decreto 71/025 reglamentó la posibilidad de habilitar a entidades privadas a consumir determinados servicios que organismos públicos ponen a disposición mediante esa plataforma.
Existen, por ejemplo, servicios de la Dirección Nacional de Identificación Civil capaces de consultar datos filiatorios asociados a una cédula e incluso verificar la imagen de un documento para determinados usos.
Eso merece discusión pública sobre gobernanza, controles, trazabilidad, finalidad y acceso a los datos.
Pero un mecanismo regulado de interoperabilidad no es automáticamente equivalente a comercializar bases obtenidas mediante filtraciones o accesos no autorizados.
La comparación planteada por Samaritan es útil para abrir el debate, pero no demuestra por sí misma la equivalencia que pretende establecer.
La pregunta institucional válida es otra.
Si el Estado concentra enormes cantidades de información sobre sus ciudadanos y además construye mecanismos para que diferentes organizaciones puedan consumirla, ¿qué controles existen sobre cada consulta? ¿Quién puede acceder? ¿Para qué finalidades? ¿Cómo se auditan los accesos? ¿Durante cuánto tiempo quedan registrados? ¿Qué puede conocer posteriormente el ciudadano sobre el uso de sus datos?
La soberanía digital también consiste en poder responder esas preguntas.
La asimetría juega a favor del atacante
El episodio muestra finalmente una característica incómoda de la ciberseguridad contemporánea.
El Estado debe respetar procedimientos administrativos, competencias legales, jurisdicciones y mecanismos de cooperación internacional.
Quien opera una plataforma clandestina no tiene esas restricciones.
Puede cambiar un dominio, mover servidores, utilizar proveedores de diferentes países, ocultar identidades y convertir incluso los intentos estatales por perseguirlo en contenido propagandístico.
Es una enorme asimetría.
Y precisamente por eso los organismos encargados de responder necesitan procedimientos extraordinariamente sólidos.
No se trata de pedir infalibilidad a CERTuy ni de concluir, a partir de una publicación hostil, que todo el sistema uruguayo de ciberseguridad funciona mal.
Sería una conclusión demasiado fácil.
El caso es más interesante precisamente porque permite mirar más allá de las personas.
Uruguay ha construido durante años una institucionalidad relativamente avanzada alrededor del gobierno digital, la interoperabilidad y la ciberseguridad. CERTuy ocupa una posición central dentro de ese modelo.
Esa centralidad aumenta también las exigencias.
Porque cuando el organismo encargado de coordinar la respuesta nacional interactúa con actores capaces de explotar técnicamente (y comunicacionalmente) cualquier error, la precisión técnica, jurídica y operacional deja de ser solamente una cuestión de eficiencia administrativa.
Se convierte en una cuestión de seguridad nacional.
Y quizás esa sea la principal lección del episodio Samaritan: la soberanía digital no consiste solamente en tener leyes, organismos, plataformas nacionales o estrategias de ciberseguridad.
También consiste en desarrollar la capacidad real de actuar eficazmente cuando el adversario, la infraestructura y los datos ya no respetan ninguna frontera.