Dígitro lo llama "alcance aparentemente limitado". El CTIR Gov lo llama un ataque que "alcanza el núcleo tecnológico de la empresa". Uno de los dos está equivocado, y los datos favorecen al CTIR Gov. El 8 de abril de 2026 se filtraron 3,39 TB en DDoSecrets: bases de datos, código fuente y archivos internos de la empresa que construye el Guardián, la plataforma de interceptación legal de voz, datos y WhatsApp usada en los 27 estados brasileños. Analizamos el caso y la señal es clara: el blueprint de la vigilancia estatal está en internet, y la empresa que lo construyó trata el hecho como un detalle.
La escala de la filtración: 3,39 TB y el blueprint de la vigilancia
Los números son los que asustan. Según el CTIR Gov, 3,39 TB de datos se filtraron el 8 de abril de 2026 en DDoSecrets: bases de datos, código fuente y archivos internos de Dígitro. La empresa desarrolla el Guardián, plataforma de interceptación legal de voz, datos y WhatsApp, presente en los 27 estados y en 150+ instituciones gubernamentales, según el CTIR Gov. Dígitro afirma que "9 de cada 10 órganos de seguridad" usan la plataforma, dato autorreferido, sin verificación independiente.
Dígitro es Empresa Estratégica de Defensa, certificada por el Ministerio de Defensa. Es decir, la filtración no alcanza a una empresa cualquiera: alcanza un eslabón de la supply chain de seguridad nacional. Cuando el código fuente de una plataforma de interceptación legal se vuelve público, ya no es una falla corporativa. Es una falla de soberanía. El atacante no necesita explotar un zero-day: basta con leer el código.
Lo que permite el código fuente expuesto, y por qué importa
Según el CTIR Gov, la exposición del código fuente del Guardián permite análisis white-box de la arquitectura de interceptación, identificación de backdoors, desarrollo de contramedidas para evadir interceptaciones legales y creación de exploits dirigidos contra las 150+ instituciones que usan la plataforma. Cualquier actor con interés en burlar la interceptación tiene ahora 3,39 TB para estudiar, no por horas, sino indefinidamente.
Hay una consecuencia jurídica más sutil y quizás más grave. Los abogados de la defensa pueden impugnar la integridad de cualquier evidencia producida por el Guardián. Si el código fuente está público, no hay forma de probar que la versión que generó la evidencia era la misma que estaba en producción, o que no contenía backdoors. Cada proceso que depende de interceptación legal queda sujeto a cuestionamiento. La filtración no compromete solo la tecnología: compromete la cadena de evidencias que sostiene procesos criminales en todo el país.
CVE-2025-4528: cuando dos scores divergen
Los CVE divulgados afectan al NGC Explorer, la interfaz administrativa, no al Guardián ni al UNA. CVE-2025-4528 recibió 9.8 Crítico en NIST v3.1 y 5.3 Medio en CVSS v4.0. Ambos scores importan. Según el NIST, la severidad es crítica; según el CVSS v4.0, es media. La divergencia no es académica: define la prioridad de parcheo y la asignación de recursos de respuesta. Un equipo que mira solo el CVSS v4.0 puede tratar el CVE como medio; uno que mira el NIST v3.1 lo trata como crítico. En infraestructura de interceptación legal, la prudencia manda tratarlo como crítico.
Las vulnerabilidades fueron corregidas en la versión 3.48.22. Pero según VulDB, Dígitro "no respondió de ninguna manera" a la divulgación de las vulnerabilidades. El silencio no es una respuesta. Cuando un proveedor de interceptación legal ignora la disclosure coordinada, el problema no es solo técnico: es de gobernanza. Quien no responde a una disclosure no merece confianza para generar evidencias.
7 semanas de silencio y "backups previos a 2022"
Dígitro tardó 7 semanas en emitir un comunicado público. La empresa afirmó que la filtración involucraba "backups previos a 2022". No se presentó ninguna evidencia de que los sistemas de producción no fueron comprometidos. "Backups previos a 2022" es una afirmación, no una prueba.
Ya vimos este patrón antes. Cuando una empresa dice que solo se afectaron backups antiguos, pero no permite una auditoría independiente, la afirmación no tiene peso. En seguridad, la ausencia de evidencia no es evidencia de ausencia, especialmente cuando el atacante tuvo acceso a 3,39 TB. Dígitro es Empresa Estratégica de Defensa. El estándar de transparencia debería ser mayor, no menor. Siete semanas de silencio ante una filtración de código fuente de interceptación legal no es respuesta: es evasión.
Misma semana, misma enfermedad
La filtración de Dígitro no ocurrió en el vacío. En la misma semana, vimos a la Defensa Civil usar un CPF como contraseña, inalterada hacía 10 años, sin MFA. FortiBleed expuso 309 credenciales en gobierno y poder judicial. El TCU determinó la revisión del contrato con AWS por soberanía de datos. Incidentes distintos, misma enfermedad: higiene de credenciales deficiente, falta de MFA y soberanía de datos tratada como cuestión secundaria.
El patrón es estructural. No es una empresa negligente: es un ecosistema donde la seguridad es reactiva, no preventiva. Cuando el blueprint de la vigilancia estatal se filtra y la respuesta es "alcance aparentemente limitado", el problema no es la filtración. Es la cultura que la permitió.
Conclusión
El blueprint de la vigilancia estatal está en internet. La empresa que lo construyó dice que es poco. El organismo que monitorea amenazas dice que alcanzó el núcleo. Mientras estos dos discuten, cualquier actor con interés en evadir la interceptación tiene 3,39 TB para estudiar. Nosotros, en Tech86, ayudamos a instituciones a auditar infraestructura crítica, rotar credenciales comprometidas y revisar la integridad de sistemas que sostienen evidencias. Antes de que la próxima filtración exponga lo que debería ser soberano.