El teléfono de Pérez Llorca, expuesto. ¿Quién está a salvo?

La filtración de datos personales del presidente de la Generalitat Valenciana no es solo un incidente de ciberseguridad: es una advertencia. Cuando la generalitat valenciana no puede garantizar la protección de la información más sensible de quienes la representan, la pregunta deja de ser técnica y pasa a ser política: ¿quién protege a quién?

Por momentos, nuestros gobernantes parecen acostumbrarse a que la intimidad sea un bien frágil. Lo nuevo no es que se filtren datos, sino a quién se le filtran. Que entre los afectados figure el presidente de la Generalitat Valenciana, Juanfran Pérez Llorca, tras la exposición de datos detectada entre el 22 y el 23 de enero de 2026, no es un simple episodio más de ciberdelincuencia: es un síntoma preocupante de debilidad institucional.

La publicación de datos personales (DNI, teléfonos, direcciones) de responsables públicos no es una gamberrada digital ni un acto de exhibicionismo hacker. Es una ruptura grave del contrato implícito entre ciudadanía y Estado: el de la protección de la información sensible que el propio sistema exige a quienes ejercen responsabilidades públicas.

Porque lo relevante no es solo quién filtra, sino desde dónde se exfiltra. Todo apunta a que los datos no proceden de un ataque único y reciente, sino de la reutilización de bases de datos comprometidas con anterioridad. Es decir, información que ya estaba fuera de control, circulando, acumulándose, esperando el momento oportuno para ser utilizada. Y ese dato es demoledor y preocupante. No se tenía conocimiento del hecho, ni cuándo ni cómo.

Tampoco hay, por ahora, certezas sobre quién está detrás de la filtración. El alias utilizado “Eurogosth” encaja en una tipología ya conocida: perfiles anónimos, sin rastro público estable, que operan desde foros cerrados y canales de mensajería cifrada. La experiencia reciente indica que estos ataques pueden proceder tanto de hacktivistas con motivaciones políticas o ideológicas, como de actores oportunistas que reutilizan bases de datos antiguas para ganar notoriedad o ejercer presión. No se puede descartar tampoco la actuación de terceros ajenos a la administración pública, que acceden a información previamente comprometida sin necesidad de vulnerar directamente sistemas institucionales. En todos los casos, el denominador común no es la sofisticación técnica, sino la existencia previa de datos expuestos y mal protegidos.

De entre todos los datos expuestos, el número de teléfono es especialmente sensible. No por lo que revela, sino por todo lo que permite. Con un teléfono móvil, un ciberdelincuente puede intentar suplantaciones de identidad, fraudes, acoso directo, extorsión, introducción de malware, control remoto o preparar ataques posteriores de ingeniería social. El teléfono se ha convertido en el eje de la vida digital: identificador, canal de confianza y, en muchos casos, segundo factor de verificación. Cuando se filtra, no se expone solo un contacto, se compromete un perímetro entero de seguridad personal, profesional y en este caso, institucional.

Y aquí aparece una cuestión relevante que, por ahora, permanece sin respuesta pública. Desde la Generalitat Valenciana no se ha comunicado qué medidas concretas se han adoptado para proteger ese número de teléfono expuesto: si se ha reforzado su seguridad o si, sencillamente, se ha dado de baja y sustituido por otro, algo que desde el punto de vista básico de ciberseguridad sería la opción más recomendable. O si ha existido una brecha de datos en la generalitat. El silencio no implica dejación, pero sí evidencia una carencia: la falta de una política clara de comunicación ante incidentes de seguridad que afectan a cargos públicos. En este caso, al primero de los valencianos.

La Comunitat Valenciana no es una excepción. Pero tampoco puede refugiarse en el “mal de muchos”. Si los datos personales de un presidente autonómico pueden terminar en un canal de mensajería o en un foro clandestino, ¿qué garantías reales tiene la ciudadanía valenciana sobre su propia información? Ya respondo yo. ¿Ninguna!

Este tipo de filtraciones tiene además un efecto perverso: normaliza el señalamiento. Hoy son los cargos públicos; mañana, cualquier persona vinculada a ellos. Se difuminan las fronteras entre control democrático, escrutinio legítimo y acoso. Y en ese terreno resbaladizo, la democracia siempre pierde.

Este episodio debería abrir algo más que diligencias policiales. Debería provocar una auditoría profunda de cómo se gestionan, almacenan y protegen los datos personales en las administraciones públicas, y una reflexión incómoda: quizá hemos legislado mucho sobre privacidad, pero hemos invertido poco en hacerla real, o lo que es peor, que no se encuentre en la agenda política de nuestras instituciones.

La difusión de datos personales como teléfonos, direcciones o documentos identificativos está protegida por el Reglamento General de Protección de Datos (RGPD) y por la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Estas normas obligan a las administraciones públicas a adoptar medidas técnicas y organizativas adecuadas para prevenir accesos no autorizados y, en caso de brecha, a evaluar riesgos, mitigar daños y comunicar con transparencia cuando pueda existir un impacto significativo para los afectados. La protección de datos no es solo cumplimiento normativo, es calidad democrática.

La pregunta no es si volverá a ocurrir. La pregunta es qué estamos haciendo para que no sea inevitable. Porque cuando el poder queda desnudo, lo que se ve no es solo su vulnerabilidad, sino la del sistema entero.