Filtración de datos de WFP Gaza SRA 2026

WFP confirmó a The New Humanitarian que terceros no autorizados accedieron a la aplicación Self-Registration Application utilizada para Palestina y obtuvieron datos personales. El organismo afirmó que el incidente ocurrió el 14 de mayo, que desactivó la plataforma, contuvo la filtración y abrió una investigación. Esta declaración basta para clasificar el suceso como una filtración de datos verificada, y no simplemente como una posible vulnerabilidad o una afirmación de un atacante.

El aviso oficial en Telegram informó a los solicitantes de que terceros no autorizados podrían haber obtenido nombres, números de identificación, números de teléfono y detalles de ubicación. La información pública no identifica al atacante, la vía de acceso inicial, la vulnerabilidad explotada ni el método técnico utilizado para extraer los datos. Por tanto, esta ficha no atribuye el incidente a ningún grupo, gobierno, familia de malware o técnica de explotación.

Las categorías de datos confirmadas son los nombres de los solicitantes, sus números de identificación, sus números de teléfono móvil y la información sobre su ubicación o barrio. En conjunto, estos campos pueden identificar a personas que reciben asistencia humanitaria o se registran para solicitar ayuda, e indicar la zona donde viven.

La declaración de WFP no especificó si todos los registros a los que se accedió contenían los mismos campos ni si se copiaron todos los registros. «Aproximadamente 600 000 hogares» tampoco significa que cada integrante de cada hogar tuviera un registro independiente. Aunque las categorías de datos están confirmadas, no se han divulgado el número de filas, el número de personas únicas ni la tasa de extracción de cada campo, por lo que esta ficha mantiene esas distinciones.

La cifra que The New Humanitarian comunicó a partir de la información de WFP es de aproximadamente 600 000 hogares palestinos en Gaza. Un hogar puede estar formado por varias personas, mientras que algunas solicitudes pueden gestionarse a través de una sola persona de contacto de la familia. La organización no publicó un total verificable de personas afectadas o registros. Que no se haya divulgado esa cifra no significa que el incidente no tuviera consecuencias, sino que las fuentes públicas no ofrecen un total fiable.

El alcance por hogares se conserva por separado en el título, el texto y las notas sobre las fuentes. Si WFP publica posteriormente un recuento de personas o registros sin duplicados, los campos numéricos podrán actualizarse a partir de esa nueva evidencia.

La filtración se limita a la aplicación Self-Registration Application que, según WFP, se utilizaba únicamente en Palestina. El organismo declaró que su plataforma de gestión de asistencia SCOPE y los demás sistemas de WFP no se vieron afectados. Por tanto, esta ficha no debe interpretarse como una vulneración de la base de datos mundial de beneficiarios de WFP, de los registros de otros países o de toda la infraestructura del organismo.

La declaración pública no identifica al proveedor de alojamiento de SRA, sus componentes de software ni la participación de terceros. Conocer el nombre de la aplicación no permite atribuir la responsabilidad a un servicio en la nube o proveedor concreto. Dado que no se han divulgado la causa técnica subyacente ni la cadena de responsabilidades, esta ficha recoge únicamente los límites confirmados de la aplicación afectada, las categorías de datos y el impacto geográfico.

WFP afirmó que desactivó temporalmente la plataforma SRA después del incidente, contuvo la filtración y reforzó las medidas de seguridad. El organismo también abrió una investigación y alertó a la comunidad afectada a través de canales oficiales. Estas medidas de respuesta comunicadas tienen como objetivo limitar el incidente; no significan que la investigación haya identificado al atacante o el método técnico exacto.

El organismo afirmó que los solicitantes no necesitaban volver a registrarse y que la asistencia alimentaria y las ayudas en efectivo continuarían. Se advirtió a los usuarios sobre personas que se hacían pasar por WFP, mensajes fraudulentos sobre ayudas y enlaces que solicitaban información personal. La combinación de datos de identidad, teléfono y ubicación puede aumentar el riesgo de phishing dirigido, ingeniería social y fraudes relacionados con las ayudas, aunque no se divulgó ningún caso concreto de uso indebido.

No se proporciona un total de personas únicas, un número total de filas ni el número de personas representadas por cada hogar. La valoración de la sensibilidad como crítica responde a la combinación de datos de identidad y ubicación confirmados en un contexto de ayuda humanitaria.

La conclusión verificada es que WFP informó de la sustracción de nombres, números de identificación, números de teléfono e información sobre el barrio o la ubicación de su sistema SRA específico para Palestina; desactivó la aplicación, contuvo el incidente y afirmó que los demás sistemas de WFP no se habían visto afectados. Se desconocen el atacante, el método técnico de acceso, el total de personas únicas y la cobertura de campos por registro. Estas incertidumbres delimitan lo que puede afirmarse a partir de la evidencia, sin restar gravedad al incidente confirmado.