Yo Emprendedor: la app del Gobierno permite cambiar contraseñas sin verificar al titular

El gobernador Hugo Passalacqua presentó el lunes 28 de septiembre Yo Emprendedor, una plataforma gratuita para que pequeños negocios de Misiones registren productos, ventas, gastos y stock. Al día siguiente, Fracrán Noticias detectó problemas en la protección de las cuentas y avisó al Ministerio de Desarrollo Social.

En las pruebas realizadas con cuentas propias, el sistema permitió utilizar una contraseña inicial predecible, vinculada a un dato personal. También permitió cambiar la contraseña mediante la recuperación de cuenta sin comprobar que quien lo solicitaba controlara el correo o el teléfono del titular.

La diferencia es sencilla: conocer datos de una persona no demuestra ser esa persona. Para recuperar una cuenta, una práctica segura es enviar un enlace único y de corta duración a un correo previamente verificado y permitir el cambio sólo después de abrirlo. Así lo recomienda la guía de OWASP sobre recuperación de contraseñas. En la cuenta examinada por este medio, ese control no ocurrió. Elegir una contraseña nueva y fuerte no resuelve por sí solo ese problema.

Si alguien reuniera los datos requeridos para recuperar una cuenta, podría intentar entrar al negocio de su titular y acceder a su información comercial. No tenemos evidencia de que esto haya ocurrido. Tampoco comprobamos que una cuenta pudiera ver los datos de otro emprendimiento: en pruebas con dos negocios creados para esta investigación, el sistema rechazó los intentos de modificar productos de uno desde la cuenta del otro.

La revisión encontró además contraseñas débiles aceptadas por el sistema y una configuración de sesión que debe reforzarse. En la interfaz observamos textos de difícil lectura, campos sin etiquetas adecuadas para lectores de pantalla y un selector de localidades que no incluye a Fracrán.

La presentación de la plataforma y los comentarios de implementación visibles en el código recuerdan al llamado vibe coding: crear aplicaciones dando instrucciones a una inteligencia artificial. Es una impresión, no una prueba de que se haya usado IA en este proyecto. Las fallas comprobadas plantean una pregunta más concreta: ¿qué revisiones de seguridad, accesibilidad y calidad se hicieron antes de abrir la herramienta al público?

El Gobierno habla de una prueba después del lanzamiento

El comunicado oficial anunció la «puesta en marcha» de Yo Emprendedor y publicó la dirección para utilizarlo. No indicó que las personas debieran cargar datos ficticios ni presentó el servicio como una simulación.

Después de recibir nuestro aviso, Tatiana Benítez, subsecretaria de Comunicación, Articulación Institucional y Estadística del Ministerio, explicó por WhatsApp que el ingreso sencillo correspondía a una primera etapa de prueba. Más tarde afirmó que el esquema era una «arquitectura intencional y planificada por etapas» y que los datos ingresados eran «de carácter orientativo/simulado». Dijo que el equipo planea avisar a los usuarios para que cambien sus credenciales y sumar una validación para todas las cuentas creadas. En una respuesta anterior había situado el comienzo de esos cambios en este fin de semana.

La explicación de la prueba llegó después de que este medio comunicara las fallas. Puede describir una decisión del equipo, pero no responde dónde se informó a los emprendedores que debían usar datos simulados. Tampoco aclara si se corregirá específicamente la recuperación de contraseñas ni qué protección tienen las cuentas hasta que se apliquen los cambios anunciados. Benítez pidió el informe técnico para su revisión; en el intercambio mantenido para esta nota no facilitó un correo institucional del responsable que recibiría la evidencia reservada.

¿Quién controla la plataforma y su dominio?

El pie de página de Yo Emprendedor muestra el nombre NovaStark Lab. Benítez lo describió como un grupo de jóvenes programadores. El comunicado provincial también menciona el apoyo de jóvenes desarrolladores de Misiones, sin identificar a sus integrantes ni explicar el vínculo formal del grupo con el Estado. Al momento de redactar esta nota, este medio no pudo identificar documentación pública que permitiera precisar ese vínculo.

La consulta pública de NIC Argentina muestra que yoemprendedor.com.ar está registrado a nombre de David Alejandro Sisterna, una persona particular. El dominio es la dirección que el Gobierno difundió para utilizar la herramienta. La titularidad registral no permite establecer, por sí sola, quién controla el código, el alojamiento o los datos, ni prueba una irregularidad. Sí plantea una pregunta de interés público: ¿qué garantías tiene el Estado para administrar y conservar la dirección de una plataforma que promueve como propia? Fracrán Noticias solicitó información sobre los acuerdos del proyecto, sus costos y el control del dominio.

La investigación se limitó a cuentas y registros de prueba bajo nuestro control. No accedimos a información privada de otros usuarios ni comprobamos una filtración. Tampoco publicamos los pasos técnicos que facilitarían un abuso. Una herramienta ofrecida a emprendedores reales debe proteger sus cuentas mientras está disponible, aun cuando sus responsables la consideren una etapa de prueba.

Fuentes

• Pruebas propias de Fracrán Noticias, 29 de septiembre de 2026; informe técnico y evidencia conservados por el medio.
• Intercambio de WhatsApp de Martín Mednik con Tatiana Benítez, 29 de septiembre de 2026; registro conservado por el medio.
• Gobierno de Misiones, anuncio de Yo Emprendedor, 28 de septiembre de 2026.
• Ministerio de Desarrollo Social, autoridades.
• Portada de Yo Emprendedor y consulta del dominio en NIC Argentina, 29 de septiembre de 2026.
• OWASP, guía de recuperación de contraseñas.
• Google, explicación del término vibe coding.