Un ataque cibernético de alta complejidad tiene en alerta a la Cancillería y a los equipos de seguridad digital del Estado. La investigación apunta a una intrusión dirigida contra los servidores donde opera el sistema de expedición de pasaportes en Colombia, una plataforma que concentra millones de millones de datos relacionados con información altamente sensible de los ciudadanos.
El blanco del ataque, que mantiene reunidos desde el jueves a delegados de la DNI, Policía, Ministerio de Tecnologías, entre otros, es el Sistema Integral de Trámites al Ciudadano (SITAC), la infraestructura que soporta el registro, la captura biométrica y la gestión completa de los trámites. Allí reposan datos como huellas dactilares, fotografías, información biográfica y documentos asociados a procesos de identificación.
Según conoció este diario, el alcance del problema va más allá del trámite de pasaportes: también articula información vinculada a apostillas, legalización de documentos y procesos de cooperación judicial, incluidos expedientes sensibles relacionados con extradiciones y crimen transnacional.
En medio de la investigación, lo que más inquieta a los equipos técnicos es la presencia de un posible malware activo dentro de la red, es decir, un software malintencionado diseñado específicamente para interrumpir, dañar, espiar o tomar el control de los datos.
No se trataría de un intento de acceso externo puntual, según pudo establecer este periódico, sino de un software malicioso que habría logrado instalarse o moverse de forma interna dentro del sistema, con capacidad de persistencia.
De acuerdo con las primeras hipótesis técnicas, este malware estaría diseñado para operar de manera encubierta: no necesariamente para extraer información de inmediato, sino para explorar la arquitectura interna, identificar rutas de acceso, escalar privilegios o incluso corromper procesos sin ser detectado. En este tipo de incidentes, el riesgo no solo es el robo de datos, sino la alteración silenciosa de la información o la creación de puertas traseras que permitan accesos futuros, según fuentes.
Para dimensionar la relevancia del sistema SITAC, basta revisar algunas de sus cifras operativas. Según datos citados por la Cancillería, con corte al 30 de junio de 2023, desde 2013 el sistema ha permitido la expedición de 13.440.332 pasaportes en sus distintas modalidades, así como 2.069 documentos de viaje. Asimismo, se registran 675.059 etiquetas de visa expedidas y 492.677 efectivamente impresas.
Pero, ¿qué tiene que ver todo lo anterior con el nuevo modelo de pasaportes impulsado por el Gobierno Petro?
Sin planeación: Procuraduría
Aparte del problema con el sistema SITAC, que tiene una antigüedad de 12 años, la Procuraduría encendió una de las alertas más graves sobre el nuevo modelo de pasaportes en Colombia: lo que debía ser una transición técnica para modernizar el servicio, terminó convertido en un entramado de irregularidades que compromete la legalidad del proceso, el patrimonio público y la estabilidad de un servicio esencial.
EL COLOMBIANO accedió al expediente de la demanda que cursa en el Tribunal Administrativo de Cundinamarca y que hoy mantiene en vilo lo firmado. Se trata de una acción judicial que examina la legalidad del convenio para la producción de pasaportes entre Colombia y Portugal, originada por el abogado Nicolás Dupont, quien busca tumbar el acuerdo suscrito con la empresa portuguesa.
El corazón del problema está en el convenio 010 de 2025, un contrato que supera los 1,3 billones de pesos y que, de acuerdo con la Procuraduría, se firmó sin la más básica planeación. “No hubo estudios de mercado, ni análisis financieros sólidos, ni evaluaciones del sector que permitieran justificar el costo o comparar alternativas”, dice el expediente. Es tanta la improvisación que documentos clave carecen de firmas, lo que impide establecer responsabilidades dentro del proceso.
“El valor del convenio —más de 1,3 billones de pesos— fue determinado sin metodología verificable, sin cotizaciones comparativas y sin un modelo financiero que respaldara la razonabilidad del precio pactado con la INCM”, ha dicho la Procuraduría en el proceso de coadyuvancia, como se dice formalmente, en respuesta a la acción popular radicada por el abogado Dupont.
Pero las irregularidades no terminan ahí. El modelo habría sido estructurado para evitar una licitación pública. La Cancillería recurrió a la figura de contratación directa bajo el argumento de cooperación internacional, apoyándose en la participación de la empresa portuguesa Imprensa Nacional – Casa da Moeda (INCM).
La Procuraduría es tajante: esa empresa no es un organismo de derecho público internacional, sino una sociedad anónima de naturaleza privada.
“La INCM (Casa de la Moneda de Portugal) no es un organismo internacional ni una persona extranjera de derecho público en sentido estricto, sino una sociedad anónima sometida al derecho privado portugués (...) La INC (Imprenta Nacional de Colombia) actúa como intermediaria que traslada íntegramente la ejecución a un tercero”, afirma el Ministerio Público en el proceso.
Error: pagos a Portugal en euros
Resalta la Procuraduría que el aporte financiero de Casa de la Moneda de Portugal apenas alcanza el 21 %, muy lejos del 50 % exigido por la ley para justificar este tipo de contratación. “68.444.588 euros, equivalentes al 21% del valor total del convenio, cifra significativamente inferior al umbral del 50% exigido por la ley. El 79% restante debe ser aportado por entidades colombianas —el Fondo Rotatorio y la INC—, lo que demuestra que se trata esencialmente de un contrato financiado con recursos públicos colombianos, al que no puede aplicarse la excepción prevista en el artículo 20 de la Ley 1150”.
En la práctica, lo que se configuró —según el informe— es una “contratación en cascada”. La Imprenta Nacional de Colombia actúa como intermediaria, mientras que la empresa extranjera asume toda la operación: diseño, producción, custodia y distribución de los pasaportes. Es decir, el convenio de cooperación termina siendo, en los hechos, un contrato de prestación de servicios que debió someterse a competencia pública. A esto se suman vicios graves en la toma de decisiones.
La junta directiva que aprobó el modelo habría operado sin cumplir requisitos básicos: convocatorias fuera de tiempo, ausencia de actas formales y decisiones sustentadas únicamente en grabaciones. Incluso, sus miembros tuvieron que firmar acuerdos de confidencialidad sin sustento legal para acceder a la información, lo que, según la Procuraduría, compromete la validez misma de lo actuado. El frente financiero no es menos preocupante.
Sin CONFIS ni CONPES
El convenio, dice la Procuraduría, compromete recursos hasta 2036 “sin contar con las autorizaciones exigidas por instancias como el CONFIS y el CONPES”. Peor aún: nació desfinanciado. Desde el primer año se proyecta un déficit, que se agrava porque el modelo solo cubre pasaportes ordinarios, dejando por fuera documentos esenciales como pasaportes de emergencia o etiquetas de visa. Uno de los puntos más críticos es el riesgo cambiario.
“El convenio establece la obligación de la INC de solicitar la expedición de 1.500.000 pasaportes anuales desde el 1 de abril de 2026, a un precio unitario de 17 euros por libreta. Al distribuir esta cantidad en 365 días y calcular el costo correspondiente a los 275 días del período abril-diciembre de 2026, aplicando la TRM proyectada en el convenio para dicha vigencia ($4.300 por euro), se obtiene un valor de $82.613.013.698,63, frente a una disponibilidad presupuestal aprobada de solo $82.237.500.000, evidenciándose un déficit inicial de $375.513.698,63. Este faltante se trasladaría a la vigencia 2027, para la cual la disponibilidad aprobada sería igualmente insuficiente, generando un efecto de déficit acumulado que se propagaría a lo largo de toda la ejecución del convenio”, indica la Procuraduría.
Además, el problema se agrava por dos factores adicionales. El primero es que la totalidad del presupuesto anual quedaría comprometida exclusivamente en la adquisición de pasaportes ordinarios, sin margen para financiar otros documentos contemplados en el convenio, como pasaportes con zona de lectura mecánica, pasaportes fronterizos, libretas de tripulante terrestre, pasaportes de emergencia, etiquetas de visa y pasaportes exentos.
Esto implica que el Estado colombiano ya estaría obligado a realizar adiciones presupuestales. En la práctica, esto evidencia una planeación financiera deficiente, incapaz de cubrir de manera integral los compromisos asumidos en el modelo, dice el Ministerio Público.
Volatilidad de mercado
Otro asunto neurálgico es que el contrato obliga a realizar pagos en euros a una cuenta en Portugal, en aparente contravía de las normas del Banco de la República. Esto deja al Estado expuesto a la volatilidad del mercado: si el euro sube, el costo del contrato se dispara.
“La cláusula 11 del convenio 010 de 2025 establece que el desembolso de los aportes de la INC se efectuará directamente en euros, mediante transferencia bancaria a una cuenta del Banco IGCP de Portugal. Esta estipulación contraviene el artículo 86 de la Resolución Externa No. 001 del 25 de mayo de 2018 de la Junta Directiva del Banco de la República, que establece que las obligaciones pactadas en moneda extranjera y que no correspondan a operaciones de cambio serán pagadas en moneda legal colombiana a la tasa de cambio representativa del mercado”, afirma el ente de control.
Y no hay mecanismos de cobertura ni límites de gasto que amortigüen ese impacto. En otras palabras, el país asumió una obligación en moneda extranjera sin blindaje financiero. Ese riesgo no es teórico. La Procuraduría advierte que el déficit inicial podría crecer de manera acumulativa durante toda la vigencia del contrato, poniendo en jaque la continuidad del servicio.
A esto se suma una cláusula particularmente delicada: una garantía a primer requerimiento por más de seis millones de euros que podría activarse sin necesidad de probar incumplimientos, lo que representa una amenaza directa al erario. El informe también señala una estrategia preocupante: la creación de “hechos cumplidos”.
Equipos y maquinaria comenzaron a importarse desde Portugal incluso antes de que existieran contratos plenamente legalizados. Posteriormente, el Gobierno expidió normas para intentar ajustar el marco legal a decisiones ya tomadas, lo que podría configurar una desviación de poder. En el fondo, lo que está en juego no es solo un contrato. Es la prestación de un servicio público esencial.
La Procuraduría advierte que la suma de improvisación técnica, vacíos jurídicos y riesgos financieros podría afectar directamente la expedición de pasaportes y, con ello, un derecho fundamental: la libre locomoción de los ciudadanos.
El resultado es un modelo que, lejos de ofrecer certezas, hoy se debate entre cuestionamientos disciplinarios y un pulso judicial que podría redefinir por completo el futuro del sistema de pasaportes en Colombia.
Las alertas ignoradas del SITAC
El presidente de la Unión de Funcionarios de Carrera Diplomática y Consular de Colombia (Unidiplo), José Fernando Salcedo, lanzó fuertes críticas sobre el funcionamiento del Sistema Integral de Trámites al Ciudadano (SITAC), al que calificó como una plataforma crítica, pero estructuralmente obsoleta y altamente vulnerable.
Salcedo explicó que el SITAC no es un sistema tercerizado, sino una herramienta propia de la Cancillería que funciona como “columna vertebral” de los trámites consulares y de atención al ciudadano en el exterior. Sin embargo, aseguró que su desarrollo ha estado marcado por decisiones contractuales fallidas y una modernización incompleta.
“El problema fue que en la administración de Murillo se hizo una contratación a dedo con Al Desarrollo para modernizar el sistema SITAC”, afirmó, al señalar que el proceso no logró resolver los problemas de fondo del sistema y terminó en múltiples prórrogas y una posterior cancelación cuando llegó la canciller Rosa Villavicencio.
Según el dirigente, el SITAC presenta fallas estructurales profundas: “es un sistema monolítico, programado en lenguajes obsoletos como Java 6, y durante años se ha venido parchando sin una intervención integral”, lo que lo hace especialmente vulnerable ante fallas operativas y posibles incidentes de ciberseguridad. Salcedo advirtió que la crisis reciente —que ha dejado el sistema intermitente e incluso caído en momentos clave— afecta no solo la expedición de pasaportes, sino múltiples trámites consulares esenciales.
“Hoy no solo está en riesgo el pasaporte, sino la cédula, los registros civiles, las constancias de supervivencia y otros documentos clave para los colombianos en el exterior”, señaló. El funcionario insistió en que la situación no es nueva y que desde los sindicatos se han emitido múltiples alertas.
En su análisis, Salcedo también apuntó a decisiones políticas en la modernización del sistema: “Es una decisión política. Es el costo de no escuchar a los funcionarios de carrera diplomática, que somos quienes operamos el sistema día a día”.
“En los últimos tres años hemos enviado al menos diez alertas por año advirtiendo que el SITAC puede caerse en cualquier momento”, dijo, al tiempo que cuestionó la falta de respuesta institucional frente a esos llamados.
En el expediente que cursa ante el Tribunal Administrativo de Cundinamarca, el Fondo Rotatorio del Ministerio de Relaciones Exteriores sostiene la defensa tanto del contrato suscrito con la Casa de la Moneda de Portugal, como del convenio interadministrativo celebrado con la Imprenta Nacional para la personalización de pasaportes.
A pesar de todo, el presidente Petro insiste, sin evidencia, en que el nuevo pasaporte es “uno de los cuatro mejores del mundo”. Pero no hay garantía de lo básico: las garantías de la expedición del documento en el corto y mediano plazo.
Lea también: Exclusivo | Petro mintió: los pasaportes nuevos no se imprimen en Colombia sino en Portugal
Regístrate al newsletter