Teletón Colombia 2013 ha causado mucho revuelo en las redes sociales, los simpatizantes y opositores de este tipo de iniciativas han utilizado estas redes para expresarse a favor o en contra de la Teletón Colombia 2013 lo que ha conseguido que sea una tendencia en redes como Twitter y Facebook.
Tabla de Contenido
Precisamente por esos medios y específicamente por el Fanpage de ColHackers (quienes junto a R4lph & r00tr3d se atribuyen la autoría) me acabo de enterar que la base de datos de teleton.org.co donde las personas podían realizar donativos en línea para las causas que apoyaba la Teletón Colombia 2013 ha sido comprometida y se ha expuesto una gran cantidad de datos como «prueba» de lo sucedido.<>
La base de datos expuesta en el sitio https://r4lph-is-here.tk/XXXX/teleton.html (mirror) no esta completa, pero contiene información suficiente (por ejemplo hash de las claves de los administradores del sitio) como para comprobar que efectivamente el sitio teleton.org.co fue comprometido y mas importante aún, los datos de miles de colombianos andan en manos de algunos círculos privados en la red.
En la muestra expuesta de la base de datos de Teletón Colombia 2013 destacan varios elementos como por ejemplo, que muchos usuarios aparecen con donación de 0 pesos, aunque varios usuarios en twitter me expresaban su preocupación por un incidente de fraude, yo quiero pensar que se trata de negligencia a la hora de realizar el sitio y no poner las medidas necesarias para evitar ese tipo de incidentes, lo cual me hace preguntarme …. ¿como es posible que en una pagina pensada para recaudar mas de 10.000.000.000 millones de pesos sea publicada sin una adecuada auditoria de seguridad?
Esta noticia aún se encuentra en desarrollo, seguramente no será expuesta en los medios de telecomunicaciones tradicionales, ya que ellos son los principales promotores de la Teletón Colombia 2013, pero es necesario que esta información sea difundida para que siente un precedente y cosas tan penosas para nuestro país como lo que acaba de pasar, por que lastimosamente se esta volviendo «tradición» con cada edición de este evento…
Actualizado 10/03/2013:
Cuando anuncié que tras 24 horas del incidente ningún medio de comunicación nacional se ha expresado respecto a este incidente, recibí una comentario del amigo Matías Katz vía Twitter que decía «no entiendo porque leakear los datos de los contribuyentes, son victimas y no los culpables», una apreciación acertada que desde el punto de vista de nuestro amigo argentino responde a la pregunta que seguramente muchos de nuestros lectores se están haciendo, ¿si ya son víctimas por que aumentar su «pena» difundiendo la noticia?, es normal que se realicen esa pregunta, yo mismo me la hice antes de escribir esta entrada en el blog y tomé la determinación de hacerlo por los siguientes motivos:
- La teletón, independiente de si es un evento para buenas causas o escusas para pagar impuestos con dinero de «gente con buen corazón , es un evento privado, realizado e impulsado principalmente por los grandes medios de comunicación colombianos y ellos no publicarían voluntariamente una noticia que pueda perjudicarlos, a no ser que llegue a difundirse lo suficiente como para no poder ocultarlo y tener que admitirlo.
- Como sabemos que en ningún medio que apoye la teletón se publicará esta noticia, la posibilidad de que las víctimas se enteren que SON VICTIMAS, se reduce si no se hace una adecuada difusión del tema y las buenas personas que apoyaron esta causa no podrán exigir por el mal manejo que han realizado con su información.
- ¿Mal manejo? ¿acaso teletón tiene la culpa?…. yo hablo de mal manejo y negligencia básicamente por 2 factores:
– Conocimiento de Causa, el año pasado el sitio de la teletón 2012 fue atacado, en esa ocasión no se publicaron datos de los donantes, pero esto dejó claro que el evento como tal era considerado un objetivo por grupos hacktivistas.
– Sabiendo que el sitio se utilizaría para recaudar parte de los 10.000.000.000 COP que tenían como meta para este año (los ceros están correctos), publicarlo sin hacer un adecuado análisis de seguridad, que cualquiera de las muchas empresas de seguridad colombianas realizaría por menos del 1% del valor que esperaban recibir y a sabiendas de lo sucedido en su versión anterior, no es más que NEGLIGENCIA.
Poco a poco la gente se ha ido enterando del incidente, algunos dicen estar preparando una denuncia formal contra el teletón, otros simplemente lo ven como una curiosidad desde su puesto de espectadores, pero al ver la acogida que ha tenido esta entrada y saber las reacciones de las personas en las diferentes redes sociales, yo me ratifico en que publicar la nota fue una decisión acertada.
Actualizado 11/03/2013:
La primera publicación en un medio masivo de comunicación que ha salido sobre el #Leaketón es un articulo en la revista ENTER.CO (mirror) donde la periodista Éricka Duarte Roa afirman que se comunicó con Jorge Mutis, un directivo de Teletón y este con la frase “No fuimos hackeados, todo está en orden” negaba la filtración de información de los donantes en la teletón, la verdad desconozco los conocimientos técnicos que tenga el señor mutis (no tiene pinta de ser un entendido en estos temas), o si entiende que el hecho que publicaran información de la teletón no necesariamente va asociado a tener el índex de la pagina con fondo negro y algún mensaje de un grupo hacktivista, pero con sus afirmaciones ENTER.co llama mentirosos a muchas personas, incluyendo a los miembros de esta comunidad. Con lo que no contaba el señor mutis es que el amigo Mr.Pack del grupo r00tc0d3rs, publicó una nota titulada «Data Exposure – Teletón Colombia», donde no solo confirma varios fallos de seguridad que tenia el sitio de la Teletón Colombia 2013, sino que también afirma haber notificado al personal de la teleton por medio de su cuenta en twitter (@TeletonColombia)
XSS Encontrado en teleton.org.co y reportado a @TeletonColombia por @_Mrpack
SQL Injection Encontrado en teleton.org.co y reportado a @TeletonColombia por @_Mrpack
Mensajes enviados a @TeletonColombia por @_Mrpack para reportar los fallos
@_Mrpack dice en su post «Esto fue en el transcurso de la 1:00 am del día sábado, me voy a dormir pensando que hice mi buena labor del día …. despertando a las 10:00 am me dar por asegurarme de que se haya corregido lo ya comentado y NO !! nada seguían sin parchear las vulnerabilidades»
Nosotros tenemos un profundo respeto por nuestros lectores y no les mentiríamos intencionalmente NUNCA, pero no quiero ser yo quien determine quien esta mintiendo realmente, solo quiero que comparen la información aportada en esta nota, con evidencias solidas, contra el articulo de Éricka Duarte Roa sobre lo sucedido con la teletón y juzguen ustedes mismos quien miente realmente a sus lectores.
Actualización 2026 — Lo que este caso sigue enseñando más de una década después
Esta nota es la crónica de un incidente real ocurrido en marzo de 2013: la base de datos del sitio donde se recaudaban donaciones en línea para la Teletón Colombia quedó expuesta, con información de miles de donantes accesible en círculos públicos y privados de la red. El propio artículo documentó entonces lo esencial del diagnóstico: las vulnerabilidades señaladas públicamente (XSS y SQL Injection reportados incluso por miembros de la comunidad a la cuenta oficial del evento) y el hecho de que el sitio se publicó sin una auditoría de seguridad previa, pese a manejar datos sensibles de ciudadanos y a que la edición anterior ya había sido objetivo de ataques.
Más de una década después, la lección central de este caso no ha cambiado y sigue siendo una de las causas más frecuentes de exposición de datos: no se necesitó un ataque sofisticado para que esto ocurriera. Bastaron vulnerabilidades web básicas sin corregir en un sitio publicado a contrarreloj, con visibilidad masiva y una base de datos de donantes detrás. Esa combinación —sitio crítico, prisa por publicar y ausencia de pruebas de seguridad— es la misma que sigue provocando incidentes de exposición de información en organizaciones de todos los tamaños.
El contexto legal también evolucionó: en Colombia, la Ley 1581 de 2012 establece el régimen general de protección de datos personales, con obligaciones para quienes recogen, almacenan y tratan información de personas naturales. Lo que en 2013 se podía leer como una falla de criterio, hoy es además una obligación legal clara: proteger los datos personales de los usuarios de un sitio no es opcional.
Actualización 2026 — Del incidente a la prevención: auditar antes de publicar
La reflexión honesta que este caso deja, releída hoy, es sencilla: ningún sitio que vaya a manejar datos de terceros debería publicarse sin pasar primero por una evaluación de seguridad. El artículo original lo decía ya en 2013 —una auditoría realizada por cualquiera de las empresas de seguridad colombianas costaría una fracción del valor que el evento esperaba recaudar— y el punto sigue vigente: probar la seguridad *antes* del lanzamiento es la forma más barata de evitar el escenario que aquí se documentó.
Para cualquier organización que hoy opere formularios de pago, donaciones, registros de usuarios o cualquier base de datos con información personal, la ruta de prevención es conocida y accesible: pruebas de penetración y auditorías de seguridad antes de publicar, con alcance definido, metodología reconocida y un informe accionable que permita corregir los hallazgos antes de que el sitio quede expuesto al público.
Si su empresa en Colombia o Latinoamérica maneja datos de clientes, donantes o usuarios en plataformas web, una evaluación profesional a tiempo es lo que separa un lanzamiento controlado de una crónica como la que acaba de leer: solicite una evaluación de seguridad y publique con la certeza de que sus sistemas fueron probados por expertos.
