De acuerdo con Bloomberg, los organismos afectados por el ciberataque fueron el Servicio de Administración Tributaria, el Instituto Nacional Electoral, así como diversas administraciones locales

Un ciberdelincuente utilizó un chatbot de inteligencia artificial para efectuar una serie de ataques en contra de dependencias del gobierno mexicano, en los cuales sustrajeron 150 gigabytes de información confidencial, informó Bloomberg.

De acuerdo con el reportaje, los organismos afectados por el ciberataque fueron el Servicio de Administración Tributaria (SAT), el Instituto Nacional Electoral (INE) y también gobiernos estatales como el de la Ciudad de México, Jalisco, Michoacán y Tamaulipas.

Además, se reportaron intrusiones en el registro civil de la Ciudad de México y el servicio de agua de Monterrey.

Según el medio, un usuario desconocido utilizó la inteligencia artificial de un chatbot Claude de Anthropic PBC y escribió instrucciones para que este actuara como un hacker de élite para detectar las debilidades en los sitios gubernamentales y buscara formas de automatizar el robo de datos, de acuerdo con la empresa de ciberseguridad Gambit Security.

El hackeo habría comenzado en diciembre y duró aproximadamente un mes.

Asimismo, entre la información sustraída estarían incluidos 195 millones de registros de contribuyentes, datos de los padrones electorales del INE y credenciales de empleados, entre otros.

En el artículo se indica que Calude le advirtió al usuario sobre sus instrucciones maliciosas; sin embargo, accedió a realizar las solicitudes planteadas durante la conversación. También se explica que el hacker insistió hasta que pudo evadir las barreras de seguridad que tiene el chatbot.

Bloomberg recordó que en diciembre del 2025 la Secretaría de Anticorrupción y Buen Gobierno informó que abrió 20 investigaciones por la presunta vulneración de datos personales en dependencias públicas y particulares; sin embargo, se desconoce si está relacionado con este caso.

En ese comunicado, la dependencia advirtió que se determinarán sanciones administrativas e incluso penales por estas vulneraciones y que “es la primera ocasión que la autoridad garante en materia de protección de datos personales emprende acciones de esta magnitud”.