El Banco Hipotecario del Uruguay sigue, meses después de haber sufrido el ciberataque más grave de la historia del país, sin un responsable de seguridad informática. No es distracción ni mala suerte: es el retrato exacto de cómo funciona la ciberseguridad en buena parte de nuestras instituciones, siempre corriendo detrás del problema en lugar de anticiparlo.
El ataque que expuso todo
El 30 de setiembre de 2025, el grupo de ciberdelincuentes Crypto24 accedió a la infraestructura del BHU y robó más de 700 gigabytes de información: datos personales de clientes, títulos de propiedad, contratos legales, registros financieros y hasta documentos técnicos sobre la propia infraestructura del banco. El banco no pagó el rescate exigido y, al vencer el plazo, parte del material terminó publicado en la dark web.
Según relató El Observador, la reconstrucción de sistemas y los servicios de remediación ya le costaron al banco unos 12 millones de pesos. Meses después, trámites básicos como abrir una cuenta de ahorro online todavía no volvieron a funcionar con normalidad.
Concursos vacíos mientras el reloj corría
Lo más revelador no es el ataque en sí, sino la cronología de la respuesta institucional. El cargo de responsable de seguridad de la información estaba vacante desde bastante antes de que ocurriera nada.
- 2023: el puesto de responsable de seguridad de la información queda vacante y nadie lo ocupa.
- Setiembre de 2025: el banco sufre el ciberataque justo mientras cursaba un segundo concurso interno para cubrir el cargo, que también quedó desierto.
- Enero de 2026: recién ahí se lanza un llamado público, una vez que la institución logró recomponer su operativa básica.
- Julio de 2026: los candidatos ya seleccionados todavía no asumieron: esperan una autorización de la Oficina Nacional del Servicio Civil para poder ingresar.
Tres años entre la vacante y una solución real. Un ataque de por medio. Y todavía sin nadie sentado en la silla.
La burocracia no negocia con los plazos de un atacante
Un grupo de ransomware planifica, ejecuta y publica en cuestión de semanas. Una institución pública, en cambio, necesita escalafones, concursos, validaciones y el visto bueno de otro organismo para cubrir un cargo crítico. Ese desfase de tiempos es, en el fondo, el verdadero problema de seguridad.
El propio presidente del banco, Gabriel Frugoni, lo dijo casi sin querer: “de esto no te salva un encargado de ciberseguridad”. Tiene razón en parte, un cargo vacío no es la única falla, pero la frase también funciona como excusa cómoda para no explicar por qué la vacante duró tres años y sobrevivió a un ataque de por medio.
La realidad avanza más rápido que las instituciones
El Banco Central del Uruguay venía señalando deficiencias de seguridad informática en el BHU desde 2014, con sanciones incluidas. Once años de advertencias no alcanzaron para que la institución actuara antes de que el problema se convirtiera en crisis.
Mientras tanto, el banco declaró confidencial toda la información del ataque por 15 años, hasta 2040, y ningún cliente fue notificado individualmente sobre si sus datos específicos habían sido filtrados. La institución se protege con reserva administrativa a la misma velocidad con la que le cuesta protegerse con tecnología.
Lo que esto le deja a tu empresa
Si tu pyme o tu equipo todavía no tiene un plan de ciberseguridad escrito, este caso es la señal de que hay que dejar de posponerlo. Un plan armado después del ataque ya no es prevención, es apenas contención de daños.
La pregunta que vale hacerse hoy no es “¿qué haríamos si nos atacan?”, sino “¿cuánto tardaríamos en resolverlo, y quién lo resuelve mientras esperamos que se llene un cargo?”. Esa segunda pregunta es la que de verdad separa a una empresa preparada de una que solo reacciona.
