Un ciberataque contra el Programa Mundial de Alimentos (WFP, por sus siglas en inglés) ha expuesto información personal sensible de unos 600.000 hogares en Gaza, en lo que podría ser una de las mayores brechas conocidas de datos de beneficiarios de ayuda humanitaria. La agencia de Naciones Unidas confirmó que actores no autorizados accedieron a su aplicación de autorregistro para Palestina, utilizada por personas que solicitan asistencia alimentaria y económica.
La información comprometida incluye nombres, números de identificación, teléfonos móviles y datos de ubicación, según la comunicación enviada por el propio organismo a los afectados a través de Telegram. El incidente se produjo el 14 de mayo, aunque el aviso a los beneficiarios llegó el 31 de mayo, 17 días después.
Datos humanitarios en un contexto extremo
El caso es especialmente sensible porque afecta a una población en situación de alta vulnerabilidad. Más de dos millones de personas en Gaza habían facilitado sus datos personales a la aplicación de autorregistro del WFP, conocida como People Portal, una herramienta diseñada para agilizar la inscripción y reducir los tiempos de respuesta en la entrega de ayuda.
El WFP asegura que la brecha se limita a la aplicación de autorregistro utilizada en Palestina y que otros sistemas de gestión de datos, como SCOPE, no se habrían visto afectados. Tras detectar el acceso no autorizado, la agencia afirma que cerró la plataforma, contuvo la intrusión y reforzó los controles de seguridad para evitar nuevas exposiciones.
Sin embargo, el impacto potencial va más allá de una filtración convencional. En un entorno de conflicto, los datos de ubicación, teléfonos e identificadores personales pueden convertirse en información de alto riesgo si caen en manos equivocadas. Para muchas personas afectadas, no se trata solo de privacidad, sino de seguridad física.
Una advertencia antes de la brecha
Según recoge The New Humanitarian, un denunciante anónimo aseguró que el mecanismo de retroalimentación del WFP recibió una advertencia de un “experto independiente” sobre vulnerabilidades en la aplicación dos días antes del ataque. De acuerdo con esa versión, el equipo del WFP en Palestina trasladó el aviso a la sede de Roma, donde el equipo de ciberseguridad afirmó que la vulnerabilidad había sido resuelta.
La brecha se produjo ese mismo día y habría sido detectada uno o dos días después, según el denunciante. El WFP, por su parte, no respondió a preguntas concretas sobre la cronología más allá de confirmar la fecha del incidente.
Este punto abre una cuestión clave: no solo cómo se produjo el acceso no autorizado, sino si la respuesta fue suficientemente rápida y si existió una evaluación adecuada del riesgo para las personas afectadas.
El dilema de la tecnología humanitaria
La filtración vuelve a poner bajo el foco el uso creciente de herramientas digitales en operaciones humanitarias. Las plataformas de registro, identificación y gestión de ayuda permiten acelerar procesos, reducir burocracia y llegar a más personas. Pero también concentran grandes volúmenes de información extremadamente sensible.
El problema es que las organizaciones humanitarias trabajan con poblaciones desplazadas, empobrecidas o expuestas a violencia, lo que hace que cualquier brecha de datos tenga consecuencias potencialmente graves. Un error de seguridad en una empresa puede derivar en fraude o robo de identidad; en un contexto como Gaza, puede aumentar el riesgo de persecución, localización o daño directo.
Expertos citados por el medio señalan que el sector humanitario arrastra un historial insuficiente en protección de datos, pese a manejar información de personas especialmente vulnerables. La brecha del WFP se suma a otros incidentes relevantes, como el ataque de 2022 al Comité Internacional de la Cruz Roja, que expuso información de más de 500.000 personas.
En sus comunicaciones, el WFP indicó que la plataforma de autorregistro había sido pausada para aplicar mejoras de seguridad. También aseguró que los programas de alimentos, efectivo y otras ayudas continuarían funcionando mediante los sistemas existentes, y que los beneficiarios no necesitan actualizar, eliminar ni volver a registrar sus datos para seguir recibiendo asistencia.
La agencia pidió además cautela ante posibles intentos de fraude. Recomendó desconfiar de cualquier persona que afirme representar al WFP para pedir información o pagos, evitar enlaces sospechosos y no compartir datos personales con fuentes desconocidas.
