No hace falta mirar a una cadena extranjera para entender lo que está en juego. En el último año, Puerto Rico ha visto alcanzada su infraestructura de pagos, sus agencias de gobierno y sus registros de propiedad. Dos de estas tarjetas describen el mismo evento de Evertec, porque Popular fue una de las instituciones afectadas aguas abajo.
Mayo – junio 2026 · infraestructura de pagos
Evertec
Evertec descubrió un posible acceso no autorizado el 13 de mayo de 2026, relacionado con una plataforma de soporte de un tercero, y lo divulgó en un Formulario 8-K radicado ante la SEC el 9 de junio de 2026.
La exposición incluyó registros de transacciones, algunos números de tarjetas de pago, y algunos nombres y datos de contacto, afectando principalmente a clientes de instituciones financieras de Puerto Rico y a sus clientes. Según reportes de prensa, al menos tres demandas colectivas federales se presentaron después.
⚠ punto de entrada: una plataforma de soporte de un tercero
Junio 2026 · exposición aguas abajo
Banco Popular
Los clientes de Popular tuvieron datos expuestos a través de un proveedor tercero: el incidente de Evertec. El propio 8-K de Popular indica que no se accedió a sus sistemas.
Esa distinción importa, y es justamente el punto. Una institución puede manejar bien su propia seguridad y aun así tener la información de sus clientes expuesta, porque los datos estaban en el ambiente de un socio. Tus clientes no viven ese matiz. Viven una carta.
⚠ punto de entrada: un suplidor que guarda los datos de tus clientes
25 de noviembre de 2025 · servicios de gobierno
TrueNorth
Funcionarios de Puerto Rico confirmaron públicamente un ataque de ransomware que involucró a TrueNorth Corporation, un suplidor de tecnología, y que afectó a tres agencias de gobierno: el Departamento de Educación, ASES y la CFSE. Los funcionarios también dijeron que no se perdió información de ciudadanos.
Más allá de eso, el detalle viene de la prensa y no de un hallazgo forense público. Según reportes que citaron un informe interno del gobierno, los atacantes usaron credenciales comprometidas del suplidor y más de 150 servidores de la CFSE resultaron afectados. Señalamos la fuente porque la distinción importa: que una sola relación con un suplidor se convierta en la caída de tres agencias es el patrón del que vale la pena aprender, y descansa sobre un documento que nadie fuera del gobierno ha visto.
⚠ punto de entrada reportado: credenciales comprometidas del suplidor
Julio 2026 · registros públicos
El Catastro Digital del CRIM
El mapa de propiedades Catastro Digital del CRIM expuso alrededor de un millón de números de Seguro Social, descargables sin ninguna autenticación. El hueco se cerró en cuestión de días.
La agencia negó que hubiera ocurrido una brecha y no notificó a los ciudadanos afectados. Reportado por ProPublica el 9 de julio de 2026.
⚠ punto de entrada: ninguna autenticación
el patrón, si entrecierras los ojos:
Lee las cuatro tarjetas como tres incidentes. Popular y las tres agencias fueron víctimas aguas abajo del compromiso de otro. Evertec sí fue comprometido directamente, a través de una plataforma de soporte de un tercero. El CRIM fue una exposición directa de su propio sistema. El patrón que vale la pena llevarse es el de aguas abajo: una plataforma de soporte, las credenciales de un suplidor, el ambiente de un socio. Tú heredas la seguridad de cada suplidor y cada plataforma en tu stack: su disciplina de parchado, su higiene de accesos, su respuesta a incidentes, hayas conocido a sus ingenieros o no. Que es todo el argumento para saber exactamente de qué está hecho tu stack, y ser dueño de las partes que guardan cualquier cosa que odiarías perder.
