Un incidente grave de ciberseguridad ha dejado al descubierto la fragilidad de la infraestructura digital del Estado colombiano, mientras el Ministerio de Justicia y del Derecho trabaja con aliados internacionales para contener la brecha. La plataforma dedicada al licenciamiento y control del cannabis permanece completamente fuera de servicio, sumiendo a empresarios, investigadores y usuarios en un limbo regulatorio sin fecha de resolución.
Bogotá D.C., 15 de agosto de 2026.- La digitalización de los trámites estatales, prometida como un pilar de transparencia y eficiencia, ha mostrado su cara más vulnerable. El Ministerio de Justicia y del Derecho, confirmó que sus plataformas institucionales, incluida el Mecanismo de Información para el Control de Cannabis, MICC, sufrió ciberataques desde el mes pasado, lo que ha obligado a un apagón parcial de sus servicios.
Para un sector que opera bajo márgenes de cumplimiento estrictos y cronogramas de inversión ajustados, esta interrupción no es un simple inconveniente técnico; es un freno de mano que paraliza la formalidad.
El reconocimiento oficial y la respuesta de contingencia
El ministro de Justicia y del Derecho, Iván Cancino González, admitió la gravedad de la situación, señalando que desde el 8 de agosto se trabaja de manera articulada con la Fiscalía General de la Nación, el Equipo de Respuesta a Emergencias Cibernéticas de Colombia (COLCERT), expertos del equipo DART de Microsoft y aliados del Banco Interamericano de Desarrollo (BID).
«Desde el mes pasado enfrentamos un incidente grave de ciberseguridad que afectó a algunos sistemas y servicios del Ministerio. Nuestra prioridad es proteger la información», declaró el funcionario, añadiendo que se investigan intentos de acceso no autorizado desde enero, con posibles orígenes internos y externos.
Sin embargo, la declaración oficial revela una realidad operativa compleja para el ecosistema cannábico: mientras el Sistema de Información para el Control de Sustancias y Productos Químicos (SICOQ) opera de manera parcial, el Mecanismo de Información para el Control de Cannabis (MICC) permanece temporalmente fuera de servicio. Esto significa que, a la fecha, es imposible presentar nuevas solicitudes de licenciamiento, consultar el estado de trámites en curso o acceder al historial regulatorio de las empresas.
Vulnerabilidades de la plataforma, una deuda tecnológica expuesta
Más allá del ataque en sí, los detalles técnicos del análisis de vulnerabilidades realizado sobre el portal del MICC pintan un panorama preocupante sobre la higiene digital de la entidad. Los hallazgos, lejos de ser anecdóticos, evidencian fallas sistémicas:
- Acceso externo al portal: Se detectaron 693 vulnerabilidades de alto riesgo (capaces de comprometer el sistema), 10 de riesgo medio y 115 de bajo riesgo, además de 1.912 advertencias internas, en una muestra que ni siquiera alcanzó a revisar la totalidad de las rutas del portal en casi 22 horas.
- Acceso interno al sistema: Al ingresar al aplicativo, la cifra de vulnerabilidades de alto riesgo se elevó a 892, con 3.032 advertencias internas.
- Protocolos obsoletos: La prueba de SSL reveló que el sistema aún tiene habilitados los protocolos TLS 1.0 y 1.1, estándares criptográficos considerados obsoletos y altamente inseguros por la industria tecnológica global desde hace años.
Estas cifras sugieren que el ciberataque no fue necesariamente una obra de genios informáticos, sino la explotación de una infraestructura que ya presentaba grietas estructurales conocidas y cuantificables.
La «solución» analógica para un sector de alta tecnología
Ante la imposibilidad de usar la plataforma, el Ministerio ha dispuesto un plan de contingencia que, en la práctica, retrocede décadas en materia de seguridad de la información: las peticiones, quejas, reclamos y, crucialmente, los documentos de soporte para trámites de cannabis, deben remitirse al correo electrónico genérico gestion.documental@minjusticia.gov.co o radicarse de manera presencial en la sede de Chapinero.
Para una industria que maneja datos sensibles, propiedad intelectual, trazabilidad de genéticas y cumplimiento de estándares farmacopeicos, delegar la recepción de documentación oficial a una bandeja de entrada de correo electrónico no solo es ineficiente, sino que representa un riesgo adicional de fuga de información o pérdida de expedientes, generando una incertidumbre jurídica sobre la fecha de radicación y la cadena de custodia de los documentos.
Implicaciones para el ecosistema cannábico
El colapso del MICC tiene efectos dominó inmediatos:
- Para los empresarios: Los plazos de renovación de licencias o aprobación de nuevos proyectos se ven truncados, lo que puede derivar en sanciones por «inactividad» o pérdida de ventanas de oportunidad comercial, a pesar de que la falla es imputable al Estado.
- Para los autocultivadores y asociaciones: El acceso a la información y la regularización de sus actividades se congela, perpetuando la brecha entre la norma y la realidad operativa.
- Para la inversión: La percepción de un regulador con infraestructura digital vulnerable y planes de contingencia precarios erosiona la confianza de inversionistas nacionales y extranjeros, quienes priorizan la predictibilidad y la seguridad jurídica.
Reconstruir la confianza, no solo los servidores
El incidente pone en evidencia una paradoja: Colombia busca posicionarse como un referente global en la regulación del cannabis, exigiendo a las empresas los más altos estándares de trazabilidad, seguridad y tecnología, mientras su propio ente rector opera con protocolos digitales obsoletos y vulnerabilidades masivas.
La colaboración con Microsoft y el BID es un paso necesario, pero insuficiente si no va acompañada de una reingeniería profunda de los procesos digitales del Estado. Restablecer el MICC no debe ser solo una cuestión de «apagar y prender» servidores, sino de garantizar que, cuando la plataforma vuelva a estar en línea, la información de los ciudadanos y las empresas esté verdaderamente blindada.
Mientras tanto, el sector cannábico colombiano queda a la espera, navegando un limbo regulatorio donde la única certeza es que, en la era digital, la falta de ciberseguridad es, en sí misma, una amenaza a la seguridad jurídica.
