Resumen ejecutivo

Eternal Leaks anunció la venta de un conjunto de datos que describe como compuesto por 305.852 registros relacionados con tuberculosis en México, con cobertura sobre las 32 entidades federativas y un período declarado entre marzo de 2022 y septiembre de 2025.

El material fue ofrecido por 12.500 pesos mexicanos y presentado como un archivo de aproximadamente 1,31 GB. Pero el elemento que diferencia esta publicación de una simple oferta criminal es que existe una muestra sustantiva que permite evaluar parcialmente su contenido. 

iQBlack examinó 4.000 registros JSONL válidos y estructurados, cada uno con 193 campos. La información observada incluye atributos directos de identidad, identificadores gubernamentales mexicanos, datos demográficos y de contacto, instituciones sanitarias, diagnóstico, tratamiento, localización de tuberculosis, comorbilidades y otras variables clínicas y administrativas.

La evidencia no permite confirmar todavía los 305.852 registros anunciados ni establecer cómo fueron obtenidos. Sí permite sostener algo más relevante: Eternal Leaks está comercializando acceso a información sanitaria identificable de personas afectadas por una enfermedad sensible, y el material examinado supera ampliamente la categoría de una mera afirmación publicitaria.

Cuando el dato clínico se convierte en mercancía

Una base de datos corporativa puede contener correos electrónicos, teléfonos o información administrativa. En este caso, esos atributos aparecen combinados con información sobre salud, tratamiento, instituciones médicas y seguimiento de casos de tuberculosis.

La diferencia es sustancial. Si el conjunto completo mantiene las características observadas en la muestra, quien acceda a los datos podría potencialmente asociar una identidad concreta con una condición clínica, su relación con el sistema sanitario y otros elementos personales que normalmente permanecen dentro de entornos médicos o epidemiológicos.

La exposición deja entonces de ser solamente un problema de confidencialidad documental, porque datos de esta naturaleza pueden adquirir valor para ingeniería social altamente personalizada, fraude de identidad, coerción, discriminación, targeting individual o nuevas operaciones de reventa criminal. La evidencia actual no demuestra que Eternal Leaks esté realizando esas actividades posteriores, pero la comercialización elimina cualquier control sobre quién puede adquirir el material y con qué finalidad.

En ese sentido, queda claro que información clínica perteneciente a personas potencialmente vulnerables no aparece fuera de los activos que Eternal Leaks está dispuesto a convertir en producto comercial.

La muestra cambia el nivel de evidencia

La existencia del sample permite avanzar más allá de la descripción publicada por el actor. Los 4.000 registros examinados presentan una estructura uniforme y técnicamente consistente. El archivo tiene aproximadamente 17,96 MB y, al extrapolar su tamaño medio hacia los 305.852 registros anunciados, el resultado se aproxima al volumen de 1,31 GB publicitado por Eternal Leaks. Esto no valida el archivo completo, pero vuelve técnicamente plausible esa parte de la oferta.

Las 32 entidades federativas mexicanas aparecen además representadas dentro de la muestra. Algunas distribuciones geográficas, institucionales y clínicas presentan una proximidad significativa con las estadísticas anunciadas por el actor, aunque existen también diferencias que impiden utilizar los 4.000 registros como réplica estadística del conjunto completo.

Las fechas observadas llegan hasta septiembre de 2025, respaldando el extremo superior del período anunciado. El supuesto comienzo en marzo de 2022, en cambio, no puede validarse con el subconjunto disponible.

La conclusión, por tanto, debe permanecer acotada: la muestra respalda la existencia de un dataset sanitario sustantivo y estructurado, pero no demuestra la totalidad del volumen comercializado.

Lo que revela sobre Eternal Leaks

También existe una diferencia fundamental entre poseer los datos y haber comprometido el sistema que originalmente los almacenaba. La estructura observada es consistente con información utilizada para gestión de casos de tuberculosis o vigilancia epidemiológica. Sin embargo, la muestra no aporta evidencia suficiente para identificar el origen técnico del material ni reconstruir cómo llegó a manos de Eternal Leaks.

No puede determinarse si existió explotación directa, credenciales comprometidas, acceso interno, exposición de una base de datos, adquisición a terceros o reventa. Sin embargo, esta incertidumbre no reduce el significado comercial del caso.

El actor estableció un precio específico y presentó un contacto para concretar la operación. La publicación muestra así un modelo donde la información sanitaria funciona directamente como mercancía, en lugar de utilizarse exclusivamente para exposición reputacional o distribución gratuita. Para la caracterización del actor en 3C-INT, eso importa tanto como el supuesto acceso original.

Cuando el monitoreo modifica la inteligencia sobre el actor

Esta situación también produjo un cambio dentro del seguimiento de Eternal Leaks realizado por iQBlack. La aparición de una nueva geografía, un dominio sanitario de alta sensibilidad, evidencia técnica recuperable y un modelo explícito de comercialización modificó elementos materiales de la caracterización existente.

Por ese motivo, 3C-INT generó un Strategic Intelligence Update, parte del flujo mediante el cual el servicio produce y distribuye diariamente a clientes autorizados actualizaciones estratégicas en PDF cuando el monitoreo detecta cambios relevantes en actores, victimología, capacidades, relaciones o patrones operacionales.

En este caso, la actualización incorpora la exposición vinculada con México y salud pública, contrasta técnicamente el sample, registra el modelo de monetización observado y revisa los niveles de confianza asociados con las diferentes afirmaciones de Eternal Leaks.

El resultado conserva una separación esencial: existe alta confianza en que la muestra contiene 4.000 registros sanitarios estructurados con identificadores directos y datos clínicos, mientras que el volumen completo anunciado y el origen técnico de la información mantienen niveles de certeza considerablemente menores. 

El objetivo no es convertir cada publicación de un actor en una alerta aislada, sino identificar cuándo una nueva evidencia cambia lo que sabemos sobre él.

Cierre analítico

Eternal Leaks no está ofreciendo únicamente cientos de miles de filas de una base de datos. Si la descripción del conjunto completo resulta sustancialmente correcta, lo que está siendo comercializado es la capacidad de vincular personas concretas con información sobre tuberculosis, tratamiento, instituciones sanitarias y otros atributos clínicos y administrativos de alta sensibilidad.

La muestra disponible proporciona suficiente evidencia para considerar que detrás del anuncio existe información sanitaria real y estructurada. No alcanza, sin embargo, para validar completamente el número de registros ni para atribuir a Eternal Leaks el compromiso original del entorno donde esos datos fueron generados.

Ese límite que dispara una clara observación es que dentro del modelo comercial de Eternal Leaks, incluso información clínica altamente sensible puede transformarse en un activo al que se asigna un precio y se ofrece a terceros.

Y esa conducta, independientemente de quién haya obtenido originalmente los datos, modifica sustancialmente la caracterización del actor.