Riesgos y Críticas de la CURP Biométrica y Llave MX: Lo que Dicen los Expertos
Algunos especialistas en ciberseguridad han expresado preocupación por la centralización de datos y la supervisión de las nuevas plataformas digitales de identidad en México. Esa preocupación abre un debate más amplio entre especialistas en ciberseguridad, académicos y activistas de personas desaparecidas.
Este artículo recoge críticas publicadas por especialistas, colectivos y legisladores, atribuidas a ellos; no es una posición oficial. El gobierno ha señalado que el sistema busca la modernización, el combate al fraude y la búsqueda de personas desaparecidas. En paralelo, el gobierno ha señalado que la incorporación es voluntaria y gradual. Para situar el debate, conviene recordar qué es la CURP.
El Sistema Enfrenta Escrutinio desde su Lanzamiento
La reforma de julio de 2025 a la Ley General de Población convirtió a la CURP biométrica en el documento oficial de identificación nacional, vinculando huellas, fotografía facial, escaneo de iris y firma digital al código de 18 caracteres existente. Llave MX se lanzó junto con ella como puerta digital de acceso a servicios de gobierno. Quienes necesiten el documento pueden consultar tu CURP gratis.
El gobierno presenta ambos sistemas como herramientas de modernización, combate al fraude y búsqueda de personas desaparecidas. Según los críticos, investigadores en ciberseguridad, expertos legales y organizaciones civiles ven algo distinto: vacíos reales en seguridad, supervisión y protección legal.
La Centralización de Datos Preocupa Más que Cualquier Otro Riesgo
Concentrar huellas, datos faciales, escaneo de iris y registros administrativos en una sola plataforma crea lo que los especialistas llaman un punto único de falla. La consultora internacional Gigi Agassini ha señalado el riesgo sistémico de acumular datos personales y biométricos de esta manera.
Según los críticos, una violación masiva podría exponer información altamente sensible de millones de ciudadanos.
Según los críticos, este temor no es hipotético, porque sistemas de gobierno han sufrido incidentes en años recientes.
Un Dato Biométrico Filtrado no Tiene Reemplazo
Una contraseña robada se cambia. Una tarjeta de crédito filtrada se cancela. Una huella dactilar, un patrón de iris o un dato facial no se pueden sustituir una vez expuestos.
Víctor Ruiz, director de la firma mexicana SILIKN, ha advertido que una filtración de esta plataforma le daría a los criminales una vía directa hacia el robo de identidad, el fraude bancario y el robo de credenciales, ya que concentra tanto historial de trámites como registros biométricos.
Una Preocupación Señalada sobre Llave MX
Según los críticos, en un caso señalado en su momento, un especialista habría mostrado públicamente que Llave MX podría permitir registrarse usando la CURP de otra persona. Según esa preocupación, ese posible hueco de apropiación de identidad existiría antes de que la verificación biométrica lo cerrara por completo, y los críticos lo presentan como dos vulnerabilidades distintas, no una sola.
José Antonio Peña Merino, titular de la Agencia de Transformación Digital y Telecomunicaciones, respondió que registrarse con la CURP de alguien más no constituye robo de identidad por sí solo, ya que completar un trámite real requiere documentación adicional. Los críticos argumentan que esa respuesta subestima hasta dónde puede llevar un criminal sofisticado una vulnerabilidad parcial.
La Disolución del INAI y el Debate sobre la Supervisión Independiente
El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, conocido como INAI, fue disuelto en la reforma de diciembre de 2024 y sus funciones se transfirieron, principalmente, a la Secretaría Anticorrupción y Buen Gobierno. Antes de esa reforma funcionaba como el órgano autónomo encargado de vigilar los derechos de privacidad de los ciudadanos.
Gigi Agassini ha señalado que era urgente fortalecer la autonomía y capacidad sancionatoria del INAI, y que su desaparición deja un vacío tan grave que la lleva a concluir que México no está preparado para un sistema de esta ambición.
Según los críticos, sin un organismo independiente como el anterior, la supervisión de cómo se usarán, almacenarán o compartirán los datos biométricos quedó debilitada.
El Presupuesto no Alcanza para la Ambición del Proyecto
Según los críticos, la Agencia de Transformación Digital y Telecomunicaciones no contaría con recursos suficientes para la ambición del proyecto, y la protección de ciberseguridad adecuada para un sistema de este tamaño exigiría una inversión considerable.
Jorge Osorio Bretón, presidente del Capítulo ISC2 para México, ha descrito el despliegue como un salto tecnológico de gran calado sin la infraestructura legal ni financiera que realmente necesita.
México no Cuenta con una Ley Específica de Ciberseguridad
La OCDE ha recomendado una Ley de Ciberseguridad específica para México desde hace casi una década. El Congreso todavía no la aprueba.
Osorio Bretón ha advertido que un sistema de identidad nacional no puede sostenerse solo con buenas intenciones. Según los críticos, aunque el cibercrimen y la protección de datos están cubiertos por otras leyes, no existe una ley específica que obligue al gobierno y a sus proveedores a cumplir estándares internacionales como ISO 27001 o NIST SP 800-53, lo que, en su opinión, podría dejar una base de datos vulnerable con información que el crimen organizado podría eventualmente tratar como mercancía.
Las Agencias de Seguridad Tienen Acceso Amplio a la Base de Datos
Fiscalías, órganos de investigación y el Centro Nacional de Inteligencia pueden consultar la base biométrica bajo esta reforma. La Guardia Nacional y la Secretaría de Seguridad y Protección Ciudadana también pueden acceder a registros individuales, incluyendo datos bancarios y de telecomunicaciones.
Las autoridades sostienen que el acceso se limita a fines de búsqueda. Los críticos señalan un riesgo distinto: la expansión gradual de facultades de vigilancia más allá de su propósito original. Santiago Corcuera, académico de la Universidad Iberoamericana y expresidente del Comité de la ONU contra las Desapariciones Forzadas, ha criticado lo que considera un intento oficial de minimizar la magnitud de la crisis de desapariciones en México.
Los Colectivos de Búsqueda Están Divididos sobre su Utilidad Real
El gobierno construyó la CURP Biométrica alrededor de un objetivo declarado por encima de todos los demás: fortalecer la búsqueda de personas desaparecidas. El registro oficial contiene decenas de miles de casos.
Nadín Reyes Maldonado, fundadora del Comité de Familiares de Detenidos Desaparecidos “Hasta Encontrarlos,” ha argumentado que el sistema podría responder más a una lógica de control social que a una solución real. Jorge Verástegui, activista, ha señalado que aunque la CURP Biométrica ayude en casos futuros, no resuelve nada para las personas ya desaparecidas.
Carlos Ramírez, del Colectivo “Hasta Encontrarles,” ha sugerido que la tecnología sirve principalmente para identificar restos, cuando la prioridad debería ser encontrar a las personas con vida. Sandra Suaste Ávila, activista y periodista independiente, ha pedido examinar si este sistema, presentado como innovador, podría violar la seguridad digital de cada persona.
Legisladores lo Calificaron de Vigilancia Masiva en la Tribuna
Durante el debate legislativo, diputados de oposición no se guardaron nada. La diputada Rocío González Alonso, del PAN, advirtió que el sistema podría construir vigilancia masiva parecida a los peores regímenes autoritarios, dejando al Estado a un paso de rastrear y controlar a cualquier ciudadano con un solo clic.
La diputada Irais Reyes de la Torre, de Movimiento Ciudadano, planteó el riesgo de centralización preguntando qué pasaría si Llave MX falla o es hackeada, ya que una sola falla podría colapsar todos los sistemas públicos conectados. El diputado Héctor Saúl Téllez, también del PAN, acusó a la iniciativa de empoderar a quien llamó el principal arquitecto del espionaje en México.
Cuatro Riesgos Concretos que Debes Entender
César Gutiérrez Priego, experto legal en seguridad y fuerzas armadas, identificó cuatro riesgos específicos ligados al registro de la CURP Biométrica.
| Riesgo | Descripción |
|---|---|
| Filtraciones de base de datos | Los datos biométricos podrían caer en manos criminales para uso indebido |
| Acceso sin restricciones | Autoridades, empresas y personal militar podrían alcanzar datos íntimos, abriendo la puerta a violaciones de privacidad, espionaje o abuso de autoridad |
| Fallas del sistema | Fallos técnicos podrían impedir a los ciudadanos completar trámites o acceder a programas sociales |
| Fraude en línea | Un escaneo de iris o huella robado podría usarse para acceder a cuentas bancarias o cometer fraude de identidad |
Según los críticos, ninguno de estos riesgos tiene botón de deshacer. Un restablecimiento de contraseña arregla una cuenta comprometida. No existe un arreglo equivalente para una huella o un iris filtrados.
Otros Países ya Aprendieron esta Lección por las Malas
Estonia es el modelo que los expertos citan con más frecuencia, construido sobre arquitectura descentralizada, cifrado de extremo a extremo, firmas digitales con validez legal, legislación fuerte de privacidad y educación ciudadana continua. Incluso el éxito de Estonia tomó años de resistencia y requirió digitalizar ampliamente el país antes de lanzar sistemas de identidad nacional.
El sistema Aadhaar de India cuenta una historia distinta. A pesar de su escala, Aadhaar recibió fuertes críticas por violaciones de privacidad, vigilancia estatal, filtraciones de datos y límites poco claros sobre el uso de la información recolectada. India terminó aprobando leyes específicas para restringir el uso de Aadhaar, un paso que México todavía no ha dado.
Gigi Agassini ha argumentado que lanzar una plataforma como Llave MX en un país que todavía no está completamente digitalizado es un error de fondo, ya que amplios sectores de la población siguen sin acceso a internet o sin saber usarlo.
Los Expertos Piden Diez Correcciones Concretas
Los expertos solicitan auditorías públicas e independientes con participación académica y de la sociedad civil, cifrado de extremo a extremo tanto en tránsito como en almacenamiento, autenticación biométrica multifactor con controles en capas, segmentación de red para evitar fallas de punto único, y protocolos de minimización de datos con controles de acceso basados en roles.
También piden paneles ciudadanos de consulta, una Ley de Ciberseguridad específica con mecanismos reales de aplicación, un organismo de supervisión independiente que reemplace las funciones perdidas del INAI, transparencia total sobre recolección y retención de datos, y campañas públicas de educación digital.
Agassini ha insistido en que la transparencia no es opcional si el gobierno busca ganarse la confianza ciudadana. La gente necesita saber qué datos se recolectan, para qué, quién tiene acceso, dónde se almacenan y por cuánto tiempo. También ha exigido honestidad sobre las verdaderas intenciones del sistema: si vigilar a los ciudadanos es realmente el objetivo, las autoridades deberían decirlo directamente en lugar de disfrazarlo.
Conclusión
La CURP Biométrica y Llave MX representan un salto real en la infraestructura de identificación mexicana. El detalle es que expertos en ciberseguridad, derecho y sociedad civil han señalado fallas serias antes de que el sistema se expanda más: datos centralizados sin inversión proporcional, un marco legal sin una ley específica de ciberseguridad, un debate sobre la supervisión tras la disolución del INAI, y un movimiento de búsqueda de personas dividido sobre si esto atiende su crisis.
En la práctica, según los críticos, quien tramite su CURP Biométrica debería entender que el riesgo no está solo en el momento del registro, sino en cómo se administre esa base de datos durante los próximos años. Cerrar la brecha, según los expertos, exigiría auditorías independientes, una ley con dientes reales, y participación ciudadana genuina en la supervisión del sistema.
Preguntas Frecuentes
¿Qué riesgo de seguridad preocupa más a los expertos sobre la CURP Biométrica?
Según los expertos, la centralización de huellas, iris y datos faciales en una sola plataforma, que crea un punto único de falla capaz de exponer información sensible de millones de personas en una sola filtración.
¿Por qué es tan grave la desaparición del INAI para este sistema?
Según los críticos, porque la disolución del INAI debilitó la supervisión independiente, aunque sus funciones se transfirieron, principalmente, a la Secretaría Anticorrupción y Buen Gobierno.
¿México cuenta con una Ley de Ciberseguridad para proteger estos datos?
No: México no cuenta con una ley específica de ciberseguridad, aunque la OCDE la recomienda desde hace casi una década y el Congreso todavía no la aprueba, aunque otras leyes cubren el cibercrimen y la protección de datos.
¿Los activistas de personas desaparecidas apoyan la CURP Biométrica?
Están divididos. Según los críticos, algunos ven utilidad futura, mientras otros como Nadín Reyes Maldonado y Jorge Verástegui cuestionan si resuelve algo para las personas ya desaparecidas.
¿Qué pasa si se filtran mis datos biométricos?
Según los expertos, a diferencia de una contraseña, una huella o un iris filtrados no se pueden cambiar ni reemplazar, lo que vuelve esta filtración un riesgo permanente para la víctima.
¿Qué país sirve de modelo exitoso frente al caso mexicano?
Según los expertos, Estonia, gracias a su arquitectura descentralizada, cifrado de extremo a extremo y legislación fuerte de privacidad, aunque su éxito tomó años de digitalización.
Mariana González es una redactora mexicana especializada en explicar trámites gubernamentales de forma clara y sencilla. En consultacurpgratis.pro investiga información oficial de RENAPO y otras instituciones públicas para crear guías actualizadas que ayuden a las personas a consultar, descargar e imprimir su CURP de manera rápida y gratuita. Este sitio es un recurso informativo independiente y no está afiliado al Gobierno de México.
