La Fiscalía General de la República (FGR) emitió de forma definitiva el Acuerdo de No Ejercicio de la Acción Penal respecto a la carpeta de investigación del ciberataque masivo contra Petróleos Mexicanos (Pemex).
Con esta resolución judicial, la autoridad ministerial dio oficialmente el carpetazo definitivo al caso.
El dictamen se emitió el 4 de abril de 2024 y se notificó a la petrolera el 9 de abril del mismo año. Sin embargo, los detalles trascendieron públicamente mediante solicitudes en la Plataforma Nacional de Transparencia (PNT).
Toda la información relevante dentro de la carpeta de investigación (ED/SEIDO/UEIAARVCDMX/000001338/2019) se mantendrá bajo estricta reserva institucional hasta abril de 2027, fundamentada en el artículo 218 del Código Nacional de Procedimientos Penales.
Debido a esta clasificación de seguridad, Pemex rechazó transparentar datos críticos del evento, tales como: El autor cibernético detrás del ataque. El país de origen desde donde se lanzó el vector malicioso. El tipo específico de datos retenidos y si existió un pago de rescate.
El incidente ocurrió el 10 de noviembre de 2019 mediante un software de secuestro de datos (ransomware) que afectó de manera severa los sistemas administrativos y de logística de la institución. En su momento, informes de ciberseguridad forense revelaron que los atacantes exigían un rescate de 565 bitcoins (aproximadamente 4.9 millones de dólares en esa época) para liberar los servidores comprometidos. Pese a que Pemex afirmó inicialmente que sus sistemas de producción estaban blindados, revisiones posteriores de la Auditoría Superior de la Federación (ASF) evidenciaron fallas críticas de seguridad preexistentes.
