Graves fallas de seguridad en Login BA exponen datos sensibles de millones de usuarios
Un informe reciente de la Auditoría General de la Ciudad de Buenos Aires (AGCBA) encendió una fuerte alarma sobre el sistema Login BA, la plataforma oficial utilizada para validar la identidad digital de los ciudadanos y acceder a trámites y servicios del Gobierno porteño. El relevamiento detectó vulnerabilidades críticas en la seguridad informática que podrían poner en riesgo datos personales y biométricos de millones de usuarios, además de dejar al sistema expuesto a posibles delitos informáticos.
Falta de estándares internacionales y estrategia de ciberseguridad
De acuerdo con el informe, Login BA no cumple con estándares internacionales básicos de seguridad de la información y tampoco cuenta con una estrategia integral de ciberseguridad. La auditoría advirtió que el sistema no aplica normas reconocidas como IRAM-ISO/IEC 27001 y 27002 ni recomendaciones del Instituto Nacional de Estándares y Tecnología (NIST) de Estados Unidos, parámetros considerados esenciales para garantizar la protección de datos y la estabilidad operativa de plataformas digitales.
El Auditor General, Lisandro Teszkiewicz, cuestionó la falta de inversión en este campo y sostuvo que “sin inversión real en ciberseguridad, la modernización digital se reduce a una cáscara estética que expone innecesariamente a la ciudadanía”.
Debilidad en contraseñas y ausencia de doble autenticación
Uno de los puntos más sensibles detectados por la AGCBA está vinculado a los mecanismos de autenticación del sistema. Según el informe, Login BA permite contraseñas simples y fácilmente asociables a datos personales, lo que incrementa el riesgo de accesos indebidos. Además, se constató que la plataforma no cuenta con autenticación de doble factor, una herramienta ampliamente utilizada para reforzar la seguridad de cuentas digitales.
Durante las pruebas técnicas, también se detectaron mensajes de error confusos y la ausencia de alertas automáticas ante cambios de contraseña o modificaciones sensibles, lo que dificulta que los usuarios puedan advertir accesos sospechosos. “Una contraseña débil equivale a dejar la puerta abierta; sin doble factor ni alertas, el riesgo se multiplica”, advirtió Teszkiewicz.
Controles técnicos insuficientes y software obsoleto
El informe también reveló falta de procedimientos formales para la gestión de la seguridad informática, lo que incluye la ausencia de evaluaciones periódicas de vulnerabilidades, escaneos automatizados y aplicación de estándares internacionales como OWASP Top 10, que permiten prevenir los ataques más frecuentes en aplicaciones web.
Esta carencia de controles técnicos, sumada a la falta de documentación especializada, dificulta la supervisión del sistema y deja la protección de datos sujeta a prácticas poco sistematizadas. A esto se suma el uso de software obsoleto y discontinuado, que ya no recibe actualizaciones ni parches de seguridad, situación que la Auditoría calificó como una “deuda técnica” incompatible con el desarrollo de una infraestructura digital confiable.
Riesgos en el manejo de datos personales y biométricos
Otro de los aspectos señalados como especialmente grave es el tratamiento de información sensible. La AGCBA indicó que, pese a procesar datos personales y biométricos de los usuarios, el Gobierno porteño no realizó una Evaluación de Impacto en la Protección de Datos (DPIA), herramienta clave para prevenir filtraciones o usos indebidos de la información.
Asimismo, el informe advierte que la base de datos del sistema solo está registrada a nivel local y no ante la Agencia de Acceso a la Información Pública (AAIP), lo que genera cuestionamientos sobre los mecanismos de control y transparencia en el manejo de datos ciudadanos.
Advertencias sobre delitos informáticos y derechos digitales
La Auditoría concluyó que la falta de una política integral de ciberseguridad incrementa el riesgo de robos de identidad, estafas digitales, chantajes y otros delitos vinculados al uso indebido de información personal. En ese sentido, Teszkiewicz remarcó que “la protección de datos no se declama, se gestiona y se controla. No hacerlo implica una vulneración directa de los derechos civiles digitales”.
El informe reabre el debate sobre la seguridad de los sistemas estatales en un contexto de creciente digitalización de trámites y servicios públicos, y plantea interrogantes sobre la necesidad de fortalecer las políticas de protección de datos para resguardar la información de los ciudadanos frente a amenazas informáticas cada vez más complejas.
