RegistroCiberVE
All incidents
Distributed denial of service Estimated start: Date confidence: High

Probable intento DDoS contra una IP de portales del CNE

Un pico de conexiones UDP compatible con un probable intento DDoS fue observado el 28 de julio de 2024 hacia 201.130.83.39, IP que alojaba los portales SAFE y SICOFPE del CNE; el análisis no identificó cuál servicio era el posible objetivo. La actividad comenzó a las 11:29, duró unos 34 minutos y reunió cerca de 6.000 IP remotas de 110 países. El propio análisis no pudo determinar si los servicios quedaron fuera de línea, quién originó la operación ni su intención. Tampoco vincula esa telemetría con el conteo o la transmisión de votos, Macedonia del Norte o la posterior declaración atribuida a Luis Luces/Astra. El Universal publicó esa declaración el 21 de agosto sin artefacto técnico; Cazadores de Fake News documentó después sus contradicciones y separó la narrativa del sistema electoral de la disponibilidad del sitio web.

Overview

Missing evidence

medición independiente o registros del CNE que demuestren indisponibilidad, latencia o degradación durante 11:29–12:03logs, métricas de capacidad y mitigación que permitan cuantificar volumen e impactodeclaración primaria del CNE con alcance técnico y recuperaciónevidencia que conecte —o separe definitivamente— el tráfico con el retraso del escrutinioartefacto primario y verificable de la declaración atribuida a Luis Luces/Astraatribución técnica del operador, origen e intención

Impact details

Team Cymru observó durante unos 34 minutos actividad compatible con un probable intento DDoS contra una IP que alojaba dos portales del CNE. El análisis dice expresamente que no está claro si los servicios quedaron fuera de línea. No hay prueba de afectación a votos, transmisión, conteo, datos, personas o dinero. La disponibilidad real de los servicios permanece desconocida.

201.130.83.39safe.cne.gob.vesicofpe.cne.gob.ve

Classification & severity

Category
Availability
Subtype
Distributed denial of service
Confidence
Medium

La telemetría de Team Cymru respalda un pico breve y concentrado que el equipo evaluó como probable intento DDoS. El informe no confirma que los portales quedaran fuera de línea ni que el sistema de transmisión o conteo fuera comprometido.

Severity assessment

Information impact
None
Affected scope
Organization-wide
Critical service
Potential
Public confidence
Significant

El objetivo pertenece a una institución electoral esencial y el episodio ocurrió el día de la elección, pero el único análisis técnico no confirmó indisponibilidad, usuarios afectados, alcance operativo ni relación con transmisión o conteo. El contexto público no permite asignar severidad funcional al intento.

Timeline

Other

Team Cymru observó un pico de conexiones UDP: casi 6.000 IP remotas de 110 países concentraron 98 % de la actividad en 201.130.83.39, asociada con SAFE y SICOFPE. Lo evaluó como probable intento DDoS de unos 34 minutos; no determinó caída, actor, origen ni intención.

Disclosure

Poco después de medianoche, el CNE atribuyó públicamente el retraso del escrutinio a un supuesto ciberataque desde Macedonia del Norte. Reuters documentó la declaración; no hay prueba que conecte esa atribución con la telemetría ni una solicitud venezolana de investigación a Macedonia del Norte.

Claim

El Universal publicó declaraciones atribuidas a Luis Luces/Astra sobre saturación y acceso al CNE. No mostró grabación, publicación primaria ni artefacto técnico que conectara el relato con la telemetría; Luces negó después ser el hacker Astra.

Update

Cazadores de Fake News documentó contradicciones en la narrativa de Luces/Astra y del supuesto hackeo al sistema de transmisión. Su análisis limita esas afirmaciones, pero no invalida el pico de tráfico separado observado por Team Cymru.

Evidence & sources

3 sources

Insights into a Cyber Attack Against the Venezuelan National Electoral Council

S2 Research Team / Team Cymru Aug 29, 2024
Primary Security research Source confidence: High

What this source supports

  • Team Cymru observed an exceptional UDP connection spike in CNE AS61471 on 28 July 2024
  • 98 percent of the activity targeted 201.130.83.39, then associated with safe.cne.gob.ve and sicofpe.cne.gob.ve login portals
  • activity ran from approximately 11:29 to 12:03 Venezuela time and involved just under 6,000 remote IP addresses in 110 countries
  • remote port 53 to local port 80 behavior and concentration were assessed as likely indicative of an attempted DDoS
  • the researchers explicitly could not determine whether the services were knocked offline or identify the responsible party, source or intent
  • the telemetry does not establish manipulation or compromise of vote counting or transmission systems

Evidence limits

Strong independent network telemetry for a short likely attempted DDoS. It is flow-level analysis rather than service-health evidence and expressly leaves outage, actor, origin and intent unresolved.

Relevance to this case

Strongest and only stored technical evidence for the traffic event. It supports the attempted-DDoS classification and precise timing, not a confirmed outage or election-result compromise.

ASTRA asume hackeo contra sistema del CNE durante elecciones en Venezuela

Diario El Universal Aug 21, 2024
Attribution Media report Source confidence: Medium

What this source supports

  • El Universal published statements attributed to Luis Luces, presented as Astra, on 21 August 2024
  • the interview claim mentioned outdated CNE software, open or ghost ports, a phantom machine and more than two terabytes of traffic or three million connections
  • the article framed the alleged purpose as destabilizing the Maduro government
  • the page supplies no original actor post, interview recording, traffic artifact, log, IP, timestamp or technical link to Team Cymru telemetry
  • the later Cazadores investigation reports that Luces denied being the hacker Astra and described the story as false

Evidence limits

Evidence that a claim was published, not that Luces/Astra caused the observed traffic or accessed an electoral system. Technical wording is internally unclear and the speaker later disputed the identity/story.

Relevance to this case

Retained to preserve the later attribution narrative while explicitly preventing it from being treated as attribution for Team Cymru’s distinct telemetry.

Lo que sabemos sobre el falso hackeo al sistema de transmisión de resultados del 28J y a la página del CNE

Cazadores de Fake News Mar 19, 2025
Context Media report Source confidence: High

What this source supports

  • Cazadores documented contradictions in the later Luis Luces/Astra story and reports that Luces denied being the hacker Astra and acknowledged false information
  • the analysis distinguishes the isolated CANTV electoral transmission network from public web services
  • it reports that CNE web availability involved DNS-record removal while emphasizing that this does not prove compromise of vote transmission or counting
  • the article does not disprove Team Cymru’s separately observed short UDP traffic spike and does not identify its actor
  • four exact embedded X statuses preserve the fact-check, results-site, technical-critique and pre-election network-isolation context

Evidence limits

Strong for evaluating contradictions in the Luces/Astra and vote-transmission narratives, but it is a later fact-check and not direct telemetry for the 28 July traffic event.

Relevance to this case

Limits unsupported compromise and attribution claims and separates election-transmission assertions from public-web availability. It is context, not independent corroboration of the DDoS telemetry.