Noventa y seis bases de datos y un despido por videollamada

El 7 de mayo de 2026, un jurado federal en Virginia, Estados Unidos, declaró culpable a Sohaib Akhter, de 34 años, de conspiración para cometer fraude informático, tráfico de contraseñas y posesión de armas de fuego siendo persona impedida para ello. Según el comunicado del Departamento de Justicia estadounidense, Akhter y su hermano gemelo trabajaban para una empresa de Washington que prestaba servicios de software a más de 45 agencias federales. Ambos fueron despedidos el 18 de febrero de 2025, en una reunión virtual, después de que la compañía conoció una condena previa de Sohaib por delitos informáticos de 2015. En las horas siguientes, de acuerdo con la acusación probada ante el jurado, los hermanos borraron alrededor de 96 bases de datos con información del gobierno federal. La audiencia de sentencia estaba programada para el 9 de septiembre de 2026, con una pena máxima de 21 años; al cierre de esta edición no se localizó un comunicado oficial sobre la pena impuesta.


El caso no es mexicano y no hay que trasladarlo de forma mecánica. Para las agencias afectadas, quienes borraron los datos no eran personal propio: eran trabajadores de un proveedor tecnológico. Esa es la parte que interesa a una empresa en México que trabaja con desarrolladores independientes, consultores por honorarios o personal de una firma de servicios especializados: la etiqueta contractual de una persona dice cómo se le paga y quién es su patrón, pero no dice qué puede ver, cambiar o borrar dentro de los sistemas de quien la contrata.


Dos puertas de entrada para la misma llave

El trabajo independiente tiene un peso considerable en el mercado laboral mexicano. Según la Encuesta Nacional de Ocupación y Empleo del INEGI, en el segundo trimestre de 2026 había 13.2 millones de trabajadores por cuenta propia, 22.0% de una población ocupada de 60.0 millones. La cifra incluye desde comerciantes hasta profesionistas y no mide cuántos tienen acceso a sistemas de terceros, pero da una idea de la escala de relaciones que no pasan por una nómina.


En muchas organizaciones, el proceso para incorporar a un empleado y el proceso para sumar a un freelancer no se parecen. Al primero se le arma un expediente, se le hace firmar un contrato con cláusulas de confidencialidad y pasa por una inducción. Al segundo, con frecuencia, alcanza con una recomendación y una factura: "viene recomendado por el líder técnico", "es freelance, no hace falta tanto trámite", "así lo hacemos siempre con los externos". Sin embargo, ambos pueden terminar con credenciales equivalentes a un repositorio de código, a una base de clientes o a la consola de un servidor en la nube. El riesgo de ese acceso es el mismo, aunque la persona haya entrado por otra puerta.


Lo que la ley mexicana dice sobre la etiqueta

La Ley Federal del Trabajo resuelve la clasificación con un criterio de fondo. El artículo 8 define al trabajador como la persona física que presta a otra un trabajo personal subordinado; el artículo 20 entiende por relación de trabajo, cualquiera que sea el acto que le dé origen, la prestación de un trabajo personal subordinado mediante el pago de un salario, y el artículo 21 presume la existencia del contrato y de la relación de trabajo entre quien presta un trabajo personal y quien lo recibe. Llamar "honorarios" a un vínculo no impide que, si existe subordinación, una autoridad laboral lo considere una relación de trabajo.


La reforma publicada en el Diario Oficial de la Federación el 23 de abril de 2021 agregó otra capa. El artículo 12 prohíbe la subcontratación de personal, entendida como poner trabajadores propios a disposición de otra persona, y el artículo 13 solo permite la subcontratación de servicios especializados u obras especializadas que no formen parte del objeto social ni de la actividad económica preponderante de la beneficiaria, siempre que el contratista esté inscrito en el padrón de la Secretaría del Trabajo y Previsión Social conocido como REPSE. Quien contrata a un prestador que incumpla con sus trabajadores responde de forma solidaria, según el artículo 14. En el plano fiscal, muchas personas físicas que facturan servicios tributan en el Régimen Simplificado de Confianza, previsto en la Ley del Impuesto sobre la Renta para quienes tienen ingresos de hasta 3.5 millones de pesos al año, con una retención de 1.25% cuando el pago lo hace una persona moral.


Todas estas reglas responden preguntas importantes: quién es el patrón, quién paga cuotas, cómo se retiene el impuesto. Ninguna está diseñada para responder si la persona debería tener acceso de administrador a la base de clientes. Esa decisión queda, casi por completo, en la política interna de cada organización.


Los datos y los sistemas no cambian de dueño

Donde la ley sí es clara es en que la responsabilidad sobre la información no se transfiere con la factura. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025, define en su artículo 2 a la persona encargada como quien trata datos personales por cuenta del responsable, que es precisamente la posición de un desarrollador externo que trabaja sobre la base de clientes de una empresa. El artículo 18 obliga al responsable a establecer y mantener medidas de seguridad administrativas, técnicas y físicas, el artículo 20 exige controles para que todas las personas que intervengan en el tratamiento guarden confidencialidad, y el artículo 53 prevé indemnizaciones por daños derivados del incumplimiento del responsable o de la persona encargada. La autoridad en la materia es hoy la Secretaría Anticorrupción y Buen Gobierno.


En el terreno penal, el artículo 211 bis 1 del Código Penal Federal sanciona con seis meses a dos años de prisión a quien, sin autorización, modifique, destruya o provoque pérdida de información en sistemas protegidos por algún mecanismo de seguridad. La norma ofrece una vía posterior al daño, no un control previo. Los estándares voluntarios apuntan en la misma dirección preventiva: la ISO/IEC 27001:2022 incluye en su Anexo A el control 6.1, que pide que la revisión de antecedentes sea proporcional a la clasificación de la información a la que se accederá y a los riesgos percibidos, y los controles 5.19 a 5.22 sobre seguridad en las relaciones con proveedores. No son ley en México; se vuelven exigibles cuando un cliente, una certificación o una regulación sectorial los incorpora.


Medir por función, no por contrato

Human Risk Management, entendido como la gestión estructurada de los riesgos asociados a personas, funciones, accesos y decisiones, y no como desconfianza hacia quien trabaja por su cuenta, propone una regla sencilla y poco aplicada: definir el nivel de revisión y de control de acceso por lo que la persona puede hacer en los sistemas, no por cómo factura. Una diseñadora que entrega piezas para una campaña y un contratista que administra credenciales de producción pueden emitir el mismo tipo de comprobante fiscal y, sin embargo, tener perfiles de exposición muy distintos. Esa revisión debe ser proporcional y respetar el marco de no discriminación: un antecedente no descalifica por sí solo a nadie, y la evaluación debería vincularse con la función concreta.


"La pregunta útil no es si la persona cobra por nómina, por honorarios o a través de un proveedor, sino qué puede ver, cambiar o borrar; si dos personas tienen el mismo acceso, lo razonable es que hayan pasado por un criterio de revisión comparable y proporcional a ese acceso", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos como estructurados en función del rol y el riesgo de cada posición, sin que esto implique que administre o revoque accesos en los sistemas de una empresa, ni relación alguna con el caso o las organizaciones mencionadas.


Hay un matiz mexicano que conviene trabajar con el área jurídica. Como la subordinación es el elemento que define la relación de trabajo, la forma en que se documentan los controles aplicados a un contratista independiente importa: exigir que respete políticas de seguridad de la información sobre los sistemas a los que accede es distinto de fijarle horarios o dirigir su trabajo cotidiano. La seguridad no debería sacrificarse por miedo a esa línea, pero tampoco ignorarla.


La pregunta antes de entregar la contraseña

El caso estadounidense termina en un despido y en accesos que, según la acusación, todavía permitieron un daño considerable. En una empresa mexicana, la salida de un contratista rara vez se parece a una baja de nómina: es el fin de una orden de compra, un contrato que no se renueva o un proyecto que concluye, y no siempre alguien avisa a Tecnología. Para RR.HH., Compras, Legal, Seguridad y Compliance, la pregunta que deja este panorama no es qué etiqueta lleva cada persona, sino quién decidió qué acceso recibe, con qué revisión previa y quién se asegura de retirarlo cuando la relación termina, sin importar si esa persona aparece o no en la nómina.


Fuentes y marco normativo consultado

  1. U.S. Department of Justice, Office of Public Affairs, "Federal Jury Convicts Virginia Man on Charges Relating to the Deletion of U.S. Government Databases" (7 de mayo de 2026), caso extranjero; https://www.justice.gov/opa/pr/federal-jury-convicts-virgina-man-charges-relating-deletion-us-government-databases
  2. The Record, "Virginia man found guilty of deleting 96 government databases" (mayo de 2026), contexto del caso; https://therecord.media/virginia-man-found-guilty-deleting-96-gov-databases
  3. INEGI, Encuesta Nacional de Ocupación y Empleo, segundo trimestre de 2026 (25 de agosto de 2026), trabajadores por cuenta propia y población ocupada; https://www.inegi.org.mx/contenidos/saladeprensa/boletines/2026/enoe/enoe2026_08.pdf
  4. Ley Federal del Trabajo, arts. 8, 20 y 21 (trabajador, relación de trabajo y presunción), texto vigente de la Cámara de Diputados, última reforma publicada el 14 de mayo de 2026
  5. Decreto en materia de subcontratación laboral (DOF 23 de abril de 2021), LFT arts. 12, 13, 14 y 15 (prohibición de subcontratación de personal, servicios especializados, REPSE y responsabilidad solidaria); https://www.imss.gob.mx/sites/all/statics/icsoe/Decreto-23-abril-2021.pdf
  6. Ley del Impuesto sobre la Renta, Régimen Simplificado de Confianza para personas físicas (límite de 3.5 millones de pesos y retención de 1.25% por personas morales, art. 113-J); Siempre al Día, "Retenciones fiscales del RESICO vs otros regímenes" (24 de junio de 2025)
  7. Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025, última reforma 14 de noviembre de 2025), arts. 2, fr. XII (persona encargada), 18 (medidas de seguridad), 20 (confidencialidad) y 53 (indemnización); texto de la Cámara de Diputados
  8. Código Penal Federal, art. 211 bis 1 (modificación o destrucción no autorizada de información en sistemas protegidos)
  9. ISO/IEC 27001:2022, Anexo A, controles 6.1 (screening) y 5.19 a 5.22 (relaciones con proveedores); estándar voluntario salvo requisito contractual o sectorial
  10. Validato, descripción de servicios de Background Screening y Human Risk Management estructurados por rol; https://validato.ch/mx-es/