Resumen

  • LACNIC informó el 23 de septiembre que algunas personas inscritas en LACNIC 46–LACNOG 2026 podrían haber recibido correos que ofrecían bases con información de asistentes.
  • La organización afirma que no envió ni autorizó esos mensajes, que no vende ni comercializa bases con los datos de contacto de quienes se registran en sus eventos y recomienda no responder, pagar ni entregar información personal.
  • La lista pública del evento muestra nombre, organización, modalidad de participación y país, pero no una columna de correo. La fuente de las direcciones usadas para la oferta sigue sin establecerse públicamente.
  • Un registro de origen y clasificación, con estados fechados y datos agregados, permitiría informar sin convertir una alerta de suplantación en una conclusión de filtración.

Una oferta de venta no autentica el inventario del vendedor.

Puede existir un archivo. Puede ser una copia parcial de una página pública. Puede combinar datos abiertos con direcciones obtenidas en otro lugar. También puede ser una promesa falsa enviada a una lista que no guarda relación directa con el evento. Antes de hablar de filtración hay que saber qué campos se ofrecieron, qué muestra se conservó y con qué sistema se comparó.

El comunicado de LACNIC mantiene correctamente esa distancia. Dice que tuvo conocimiento de que algunas personas registradas podrían haber recibido mensajes ofreciendo bases con información sobre asistentes. No publica un número confirmado de destinatarios, no identifica al remitente, no describe el archivo ofrecido y no afirma que se haya producido una compra.

Sí fija dos límites claros. Los mensajes no fueron enviados ni autorizados por LACNIC. Además, LACNIC declara que no vende ni comercializa bases con información de contacto de quienes se inscriben en sus eventos. Para el destinatario, la recomendación es inmediata: no responder, no pagar y no compartir datos personales.

Eso basta para una advertencia. No basta para una atribución técnica.

La lista pública explica una posibilidad, no el origen

El sistema oficial de eventos mantiene una página pública de participantes de LACNIC 46. En la observación del 27 de septiembre mostraba 572 personas registradas. La cifra es móvil y no representa asistencia final. Lo relevante es la estructura: Nombre, Organización, Participation y Pais.

No fue necesario conservar ni reproducir una sola fila. Las cuatro cabeceras permiten ver el problema.

Un actor externo puede copiar nombres y organizaciones visibles, presentar ese conjunto como una base exclusiva y buscar correos profesionales en sitios corporativos, redes sociales o servicios comerciales. En ese escenario, la oferta seguiría siendo ajena y no autorizada, pero el origen de la dirección de contacto no estaría en el registro del evento.

También caben otros escenarios. Una lista antigua podría haber sido rebautizada como “LACNIC 46”. Una base comercial podría cruzarse con nombres visibles. El vendedor podría afirmar que dispone de teléfonos o correos sin tenerlos. O una muestra protegida podría contener un campo distintivo que no aparezca en la página pública. El comunicado disponible no confirma ni descarta cada ruta.

Por eso hay dos errores simétricos. El primero consiste en escribir “LACNIC sufrió una filtración” porque un correo menciona asistentes. El segundo consiste en cerrar el caso como simple spam porque existe una lista pública. Una fuente pública vuelve posible la recopilación; no demuestra que haya sido la fuente única. La ausencia de una filtración confirmada en el registro público tampoco demuestra que ninguna filtración haya ocurrido.

Cinco preguntas antes de poner una etiqueta

La primera pregunta es si el mensaje es auténtico como objeto de investigación. Deben conservarse encabezados, fecha, destino, enlaces, forma de pago, adjuntos y redacción exacta. Nada de eso necesita publicarse.

La segunda es qué prometía el vendedor. “Información de asistentes” puede significar cuatro columnas públicas, una lista de correos, teléfonos, cargos, datos de pago o simplemente una frase publicitaria. Sin un esquema observado, la palabra base oculta más de lo que revela.

La tercera es si el conjunto ofrecido es real. Una captura de pantalla, cinco registros de muestra y un archivo completo tienen valores probatorios distintos. Un nombre correcto no valida todos los campos.

La cuarta es de dónde procede cada clase de dato. Los identificadores públicos pueden coincidir con muchas fuentes. Un campo no público, un identificador interno o una secuencia temporal ligada al registro tendría otro peso. Aun así, la comparación necesita preservar el método y las alternativas.

La quinta es qué estado merece el caso en ese momento. Reporte recibido, muestra preservada, esquema observado, recopilación pública compatible, enriquecimiento externo compatible, exposición interna bajo investigación, compromiso confirmado y cierre sin confirmación no son sinónimos. Son pasos que deben poder corregirse.

La política promete protección; no resuelve el episodio

La política de privacidad de LACNIC incluye la inscripción a eventos y cursos. Establece confidencialidad, seguridad, finalidad y límites para compartir información con terceros: publicación inherente a ciertos servicios, consentimiento expreso, proveedores necesarios o requerimientos legales, entre otros supuestos.

La existencia de esa política no prueba que cada control funcionó en este caso. Tampoco el correo prueba que falló. Una norma describe cómo debe tratarse la información; la investigación debe establecer qué ocurrió con una muestra concreta.

LACNIC CSIRT ofrece servicios de reporte de incidentes, intermediación y alertas de seguridad, y dice que trata la información recibida de forma confidencial. Es un canal institucional relevante. Las fuentes revisadas no dicen que el episodio de LACNIC 46 haya sido clasificado por el CSIRT. No corresponde asignarle públicamente un expediente que no está documentado.

La salida proporcionada es más sencilla: publicar el estado, no la evidencia personal.

Un registro que pueda cambiar sin borrar su historia

Junto al aviso podría aparecer una ficha breve. Incluiría el identificador del evento y la versión del comunicado; una cantidad de reportes autenticados expresada de forma agregada y con umbral de privacidad; las clases de campos observadas en la oferta; la comparación entre los cuatro campos públicos y cualquier categoría no pública; el estado actual de la hipótesis de origen; el canal responsable; la fecha de la última revisión; y un historial de correcciones.

El expediente protegido guardaría identidades, encabezados, muestras, huellas de archivos, infraestructura del remitente, métodos de comparación y revisión de accesos autorizados. Publicar esas piezas podría exponer a destinatarios, facilitar nuevas campañas o redistribuir el material cuestionado.

La clasificación inicial puede ser modesta: “solicitud no autorizada reportada; origen no determinado”. Si después se verifica que el vendedor solo recompiló los cuatro campos públicos, el estado cambia. Si aparece un campo protegido distintivo, también cambia. Si no hay material suficiente para atribuir origen, el cierre debe decir “sin confirmación”, no “imposible”.

Este objeto es distinto del debate anterior sobre consentimiento y plazo de conservación de la lista pública. Allí la pregunta era cuánto debe durar una exposición autorizada y cómo se registra su retiro. Ahora hay un acto comercial no autorizado dirigido a personas vinculadas con esa superficie. La cuestión es la procedencia de la afirmación del vendedor.

Una institución no pierde credibilidad por mantener una hipótesis abierta. La pierde cuando una hipótesis desaparece sin estado o se convierte en certeza sin prueba.

Fuentes

  1. LACNIC — Información sobre LACNIC 46 – LACNOG 2026
  2. LACNIC Eventos — superficie pública de participantes de LACNIC 46
  3. LACNIC — Política de privacidad
  4. LACNIC CSIRT — Servicios
  5. LACNIC CSIRT — Preguntas frecuentes