Auditamos la seguridad web de 8 plataformas digitales transaccionales del Estado ecuatoriano utilizando Mozilla HTTP Observatory, una herramienta pública y gratuita que evalúa 10 controles de seguridad web y asigna una puntuación de 0 a 100. Estos no son portales informativos: son los sistemas donde los ciudadanos ingresan sus números de cédula, registran cuentas bancarias, consultan registros fiscales y gestionan su identidad digital. El resultado es el más crítico de toda la serie: un promedio de 25.0 sobre 100, 4 de 8 plataformas con una calificación F, y ninguna alcanzando el nivel A o B.
Esto no es un problema técnico menor. Las plataformas evaluadas agregan los datos más sensibles de la población: identidad, situación socioeconómica, historial fiscal, direcciones de votación registradas y registros de seguridad social. Con la Ley Orgánica de Protección de Datos Personales (LOPDP) plenamente en vigor y la Superintendencia de Protección de Datos Personales (SPDP) realizando auditorías activamente, cada hallazgo representa, potencialmente, un incumplimiento normativo documentable[cite: 1].
Los datos que importan
- 0 de 8 plataformas alcanza siquiera el Nivel B en seguridad web.
- 100% falla la Política de Seguridad de Contenidos (CSP), el control que impide que los scripts maliciosos se ejecuten en el navegador del ciudadano al visitar un portal estatal.
- DATA593 y el portal ANT reciben 0/100, la puntuación más baja posible. DATA593, lanzado el 1 de septiembre de 2026, centraliza datos de más de 10 instituciones públicas y debuta con la peor puntuación técnica de toda la serie.
- Ambas plataformas del CNE (portal principal y consulta de centros de votación) obtienen una puntuación de 10/100 cada una. El padrón electoral de aproximadamente 13 millones de ciudadanos opera detrás de esta infraestructura.
- GOB.EC, la puerta única a 2,500 procedimientos públicos, sirve su página de inicio de sesión con el encabezado Cache-Control: max-age=600, public, permitiendo que las respuestas de autenticación sean almacenadas en caché por proxies intermedios.
- Quipux, el sistema de gestión documental a nivel estatal en funcionamiento desde 2008, expone su versión exacta (6.5.7) en el pie de página de inicio de sesión.
¿Qué tecnología utiliza cada plataforma estatal?
Además de la puntuación, identificamos el servidor o pila tecnológica expuesto por cada plataforma. En varios casos, la tecnología visible por sí sola revela años de deuda técnica acumulada.
- El portal ANT utiliza Java Server Pages (.jsp) con charset ISO-8859-1, una tecnología de principios de los 2000, para ofrecer consultas de licencias de conducir y registros de vehículos a todos los automovilistas a nivel nacional.
- Las plataformas con mejor puntuación (SRI y Quipux) apenas alcanzan 50/100: la postura técnica más fuerte del Estado equivale a un aprobado justo.
Por qué DATA593 representa el hallazgo más crítico
DATA593 es la plataforma más significativa examinada en este análisis. Lanzada el 1 de septiembre de 2026 por el Ministerio de Infraestructura y Tecnología, centraliza registros de más de 10 entidades públicas en un ecosistema unificado: cédula de identidad, licencias de conducir, títulos universitarios, registros de seguridad social, registro de votantes y más. Con solo 14 días en producción en el momento del escaneo, obtuvo una puntuación de 0 de 100.
La nueva plataforma del Estado debuta con la postura de seguridad más débil
Las fallas ocurren en múltiples vectores simultáneamente: sin Content Security Policy (exposición a la inyección de scripts), sin HSTS (ausencia de aplicación de HTTPS), cookies sin atributos Secure / HttpOnly / SameSite (una penalización de -40 puntos, la más alta dentro del Observatorio), y sin X-Frame-Options (exposición a clickjacking). Además, el servidor revela su versión exacta: nginx/1.30.3.
Por qué Quipux representa un riesgo sistémico
Quipux no es un portal ciudadano de cara al público: es la columna vertebral administrativa documental del Estado ecuatoriano. Memorandos, cartas oficiales, resoluciones y contratos interministeriales han recorrido este sistema desde 2008, y su interfaz de inicio de sesión utiliza los números de identificación de los ciudadanos como credencial de acceso.
18 años de deuda técnica con la exposición de la versión en el pie de página
El pie de página de inicio de sesión indica "Versión 6.5.7 · 2008–2026". Revelar la versión exacta permite a los actores maliciosos apuntar a vulnerabilidades conocidas asociadas a esa versión. Un stack PHP heredado, una ruta que revela login.php y la ausencia de autenticación multifactor visible significan que una sola credencial comprometida otorga acceso a la correspondencia oficial del gobierno.
El Contexto Regulatorio: Exposición Bajo la LOPDP
Estas plataformas manejan registros de identidad de los ciudadanos, perfiles socioeconómicos, información fiscal, registro de votantes y membresías de seguridad social — precisamente las categorías de información protegidas con el mayor escrutinio bajo la LOPDP[cite: 1].
Tres artículos estatutarios se conectan directamente con nuestros hallazgos[cita: 1]:
Categorías Especiales de Datos
La LOPDP otorga una protección reforzada a los datos que revelan el estado socioeconómico, la salud y las afiliaciones sindicales o institucionales. IESS y DATA593 centralizan estas categorías exactas: una puntuación de 0/100 en estos sistemas no es simplemente un defecto técnico, sino una posible violación del artículo más estricto del estatuto.
Seguridad de los datos personales
Exige medidas técnicas proporcionales al riesgo operativo y alineadas con el estado del arte[cite: 1]. CSP, HSTS y las banderas de cookies adecuadas son estándares web universales y gratuitos establecidos hace más de una década; su completa ausencia en el 100% de estas plataformas es difícil de justificar durante una auditoría SPDP.
Protección de datos desde el diseño y de forma predeterminada
Requiere que los controles de seguridad estén integrados en los sistemas desde su inicio[cite: 1]. DATA593 ilustra lo contrario: una plataforma diseñada en 2026 para consolidar las identidades de los ciudadanos nacionales que debuta con una calificación de 0/100 durante sus primeras semanas de operación pública.
Precedente Legal: Sanción Contra LigaPro
Esta exposición ya no es teórica. En enero de 2026, la SPDP sancionó a la Liga Profesional de Fútbol del Ecuador (LIGAPRO) con una multa de USD 95,502.63 por no implementar la protección de datos desde el diseño en su aplicación Fan ID. Las entidades públicas no están exentas: un incidente en DATA593, el IESS o el padrón electoral del CNE podría desencadenar procedimientos concurrentes del SPDP, la Contraloría General del Estado y otras autoridades de supervisión.
La Buena Nueva
La fase inicial de remediación técnica —aplicar CSP, HSTS, X-Frame-Options y establecer las banderas de cookies adecuadas— no tiene costos de licencia de software y puede completarse en menos de 30 días por plataforma por el personal de TI interno. Representa la forma más rápida de minimizar la superficie de ataque mientras se genera evidencia de cumplimiento verificable antes de cualquier consulta del SPDP o la Contraloría.
¿Qué hacer ahora?
- Política centralizada de encabezados HTTP: El Ministerio de Infraestructura y Tecnología debe definir una línea base mínima exigible (CSP, HSTS, X-Frame-Options y cookies seguras) como un requisito previo para el despliegue en lugar de una mejora opcional.
- Auditoría de seguridad inmediata de DATA593 antes de ampliar aún más su base de usuarios.
- Modernización de la pila para Quipux: Eliminar las divulgaciones de versión del pie de página, imponer la autenticación multifactor y iniciar un camino de actualización alejándose de los componentes PHP heredados.
- Nombrar Oficiales de Protección de Datos (DPOs) dentro de cada organismo público, acompañados de flujos de trabajo de respuesta a incidentes documentados y verificables.
Este estudio sectorial fue realizado por Urbadigital, utilizando el motor de auditoría de WebPerformance Report (webperformancereport.com) para recopilar y verificar la telemetría de seguridad web de las 8 plataformas estatales transaccionales evaluadas.
Te invitamos a participar en esta iniciativa: regístrate aquí para suscribirte al informe semanal y recibir evaluaciones de vulnerabilidad del sector público en todo Ecuador.
