El viceministro de Ciencia, Tecnología y Telecomunicaciones (Micitt), Alonso Zeledón Carazo, contradijo las afirmaciones de la jerarca del Micitt, Paula Bogantes Zamora, quien había afirmado que se había logrado comprar la base de datos crediticios de costarricenses que un hacker aseguraba haber robado.
Mientras la ministra aseguró en una radioemisora nacional que las autoridades lograron ponerse en contacto con el atacante y tuvieron acceso a la base de datos con la información sustraída, el despacho ministerial rechazó de forma categórica, en un documento oficial, cualquier negociación, pago o tenencia de la base de datos completa.
La Nación remitió consultas al Micitt sobre las contradicciones entre ambas versiones. Sin embargo, al cierre de edición no se obtuvo respuesta.
Posesión de la base de datos
Durante una entrevista concedida el pasado 29 de septiembre al programa radiofónico Nuestra Voz, la ministra Bogantes detalló las acciones gubernamentales frente al incidente.
“Días después del incidente de Costa Rica, nosotros nos pusimos en contacto con el ciberatacante y al día de hoy le puedo decir que ya la base de datos a la que él decía tener acceso, nosotros se la logramos comprar. No lo hizo el gobierno de Costa Rica, lo hicieron otros, pero la base de datos ya la lograron o llegaron a un acuerdo con el ciberatacante y la compraron”, dijo.
La ministra fue enfática en que ese ministerio poseía información: “Estamos monitoreando el dark web asegurándonos que la información que nosotros ya tenemos acceso, él no la vaya a seguir publicando”, señaló.
Posteriormente, al ser consultada en el programa qué haría el Micitt con la información, la ministra indicó: “Está en posesión nuestra (la base de datos), jamás nosotros la publicaríamos. Lo que hemos hecho al adquirir esta información es, bueno, quitársela, esperamos de las manos del malhechor tomando en cuenta que nada nos asegura que no haya sacado copias”.
En contraste, en una comunicación firmada por el viceministro Alonso Zeledón Carazo, en condición de ministro a.i. del Micitt, aseguró que esa institución no compró ni recibió información de un tercero comprador.
“El Micitt no destinó recursos para comprar los datos ni recibió registros de un tercero comprador”, apuntó Zeledón en un oficio firmado el 19 de octubre.
Negó que exista un compromiso del Micitt de reembolso, compensación o reconocimiento de gasto por la adquisición de la base.
“No hubo un tercero que entregara al Ministerio información comprada al actor. Esta manifestación se refiere al Micitt y no constituye una certificación de decisiones de un tercero”, aseguró el ministro a.i.
Zeledón también negó que el Micitt haya contactado al ciberatacante, pese a lo afirmado por Bogantes.
“Ninguna persona funcionaria del Micitt estableció contacto con el actor de amenaza. El Ministerio dio seguimiento a sus publicaciones en la dark web y en los canales de difusión que este utilizaba”, dice el oficio.
“El Micitt no recibió los registros de un tercero privado”, dijo en otra respuesta a las 60 consultas formuladas por el ciudadano José Sánchez, un perito informático que ha requerido información a instituciones públicas tras los ciberataques.
¿Qué información tiene el Micitt?
Según el oficio del ministro a.i., Alonso Zeledón, el Micitt analizó registros de muestra expuestos públicamente por el actor, sin obtener la base completa.
“El Ministerio obtuvo únicamente las muestras expuestas públicamente, no una porción adquirida de la base ofrecida. No puede establecer que esas muestras representen un porcentaje determinado de su contenido ni confirmar quién conserva el resto”, señala el oficio firmado por el Zeledón.
“¿Qué pasa con los datos? Sabemos cuáles datos, qué costarricenses, qué personas estuvieran expuestas. ¿Qué pasa con los datos de ellos?“, le preguntó la periodista Amelia Rueda.
La respuesta de Bogantes brindó una cifra aproximada de la cantidad de datos: “Aquí hay que recordarle a la gente que los datos que esta persona extrajo son muchos. Estamos hablando de entre 150 y 300 gigabytes de información. En números más sencillos, más de 500 millones de registros, imagínese usted”, reveló la ministra.
Sin embargo, en la respuesta del Micitt al ciudadano se indicó: “El Micitt analizó registros de muestra expuestos públicamente por el actor, sin obtener la base completa. Los volúmenes anunciados por este no son cifras verificadas por el Ministerio”.
Pese a que la ministra atribuyó públicamente los datos a un buró de crédito, el oficio oficial certificó que el Micitt “no puede determinar de forma concluyente la institución o sistema de origen”, dejando dicha tarea en manos del Organismo de Investigación Judicial (OIJ) y el Ministerio Público.
¿Datos de Rodrigo Chaves y Laura Fernández?
Según la ministra del Micitt, dentro de los datos expuestos, se habrían identificado los pertenecientes a la presidenta de la República, Laura Fernández, y el ministro de Hacienda, Rodrigo Chaves.
“A la señora presidenta se incluía dentro de las personas que eran parte de esta base de datos (expuesta) y su información se publicó en el dark web, como también información de don Rodrigo Chaves. Esa información, como dije, muy sensible”, dijo Bogantes.
El Micitt no desmintió esa versión, pero al ser consultada por el ciudadano si podía identificar sus datos dentro de los expuestos señaló: “No es posible confirmar con esta respuesta que sus datos personales estén incluidos en la base ofrecida por el actor. El Micitt no obtuvo esa base completa, y el análisis de parte de la muestra no permite determinar la totalidad de las personas afectadas. Esta precisión tampoco permite concluir que sus datos estén excluidos”.
La ministra también descartó “hacer un contacto uno a uno” con las personas afectadas porque temía crear “algún tipo de histeria”. Por lo que, según dijo, prefirieron hacer un “llamado general” a toda la población costarricense.
En tanto, la versión del Micitt sostiene que el ejercicio de los derechos de acceso y rectificación corresponde al responsable de la base de datos y a la Agencia de Protección de Datos de los Habitantes (Prodhab), “conforme a los artículos 7 y 13 de la Ley N.º 8968″.
Cooperación internacional y con otras instituciones
En cuanto a la cooperación internacional, la ministra Paula Bogantes afirmó en el programa que las autoridades costarricenses, con ayuda de otros países, lograron identificar al presunto responsable del ataque, a quien describió como una persona de nacionalidad sudamericana.
Según su versión, en ese proceso hubo colaboración de Estados Unidos y República Dominicana, y las autoridades preparaban gestiones legales para procurar su detención en el país donde se encontraría.
Sin embargo, en la respuesta oficial del Micitt no se precisan las instituciones extranjeras que participaron, las acciones que realizaron ni las gestiones judiciales que se habrían tramitado. El ministerio señala que trasladó sus hallazgos técnicos a las autoridades competentes y aclara que la coordinación internacional de carácter técnico no es de su competencia, sino del Ministerio Público.
“La coordinación técnica internacional en materia de ciberdelincuencia no es competencia del Micitt sino del Ministerio Público”, señaló el Micitt, pese a la coordinación que Bogantes admitió haber realizado.
Sobre la coordinación con otras instituciones, el Micitt documentó comunicaciones con el Organismo de Investigación Judicial (OIJ), el Ministerio Público y la Agencia de Protección de Datos de los Habitantes (Prodhab).
Según la respuesta, el ministerio remitió a la Prodhab un oficio el 16 de setiembre de 2026 y entregó al OIJ el informe técnico, el material de respaldo y la documentación de cadena de custodia.
“Una vez concluidas las labores técnicas, verificada la recepción por esa autoridad y atendidas las obligaciones de preservación y conservación, el Micitt procedió a eliminar de forma segura sus copias de las muestras”, señaló el ministerio.
En la entrevista, pese a que se le consultó si borrarían los datos, Bogantes no dijo si la copia sería destruida una vez concluido el análisis.
El Micitt reconoció que no existe un protocolo o convenio de coordinación entre ese ministerio, la Sugef y el Consejo Nacional de Supervisión del Sistema Financiero (Conassif) para atender filtraciones masivas de datos personales con impacto financiero.
Investigaciones
Por este caso, la Prodhab confirmó que esa institución posee tres investigaciones relacionadas.
La Fiscalía Adjunta contra la Ciberdelincuencia informó que ordenó abrir de oficio una investigación, por el presunto delito de violación de datos personales. Los hechos se encuentran bajo investigación en la Sección de Cibercrimen del OIJ, dentro de la causa 26-025182-0042-PE.