Edomex.- El Ayuntamiento de Chalco mantiene un repositorio de identificaciones —credenciales del INE, pasaportes, licencias e incluso documentos de personas de otros estados— accesible sin autenticación. No hace falta un hackeo sofisticado: basta con cambiar un identificador en la URL para bajar archivo por archivo. El periodista Ignacio Gómez Villaseñor documentó el fallo (una vulnerabilidad de tipo IDOR) el 17 de septiembre de 2026 y mostró que esos mismos documentos ya circulan en un grupo de Telegram atribuido a Chronus Team, un clúster de ciberdelincuentes con historial de filtraciones a municipios, poderes judiciales y sistemas de salud en México.
La gravedad no es hipotética. Una credencial de elector válida es la pieza que usan bandas para registrar líneas telefónicas a nombre de terceros, abrir créditos digitales o tramitar deudas que la víctima descubre cuando ya está en Buró. Mientras tanto, el patrón se repite: se minimiza, se desmiente o se calla; se parchea la URL si hay suficiente presión mediática; y casi nunca se notifica a quienes quedaron expuestos. Chronus Team no inventó el mercado: solo aprovecha servidores públicos mal configurados que el Estado mexicano lleva años dejando a la intemperie.
Seguir insistiendo en que “nadie robó las bases del INE” es una distracción cómoda. Aquí no se habla de un asalto al padrón nacional, sino de copias digitales que un municipio almacenó y olvidó proteger. El daño ya está hecho: las identidades salieron, se comercializan y servirán para fraudes que las autoridades después tratarán como casos aislados. Quien hoy niega la evidencia no está defendiendo la verdad; está comprando tiempo para no asumir que la negligencia institucional es, otra vez, el eslabón más débil.