En apenas un mes, hackers filtraron o dicen tener los datos de decenas de miles de empleados del DHS, el FBI y el Pentágono. El patrón que se repite en los tres casos: infraestructura tercerizada en proveedores privados, y advertencias internas ignoradas durante meses antes de que todo saliera a la luz.
En un lapso de apenas cinco semanas, tres de las agencias de seguridad más grandes de Estados Unidos —el Departamento de Seguridad Nacional (DHS), el FBI y el Departamento de Defensa— sufrieron filtraciones o robos de datos sobre su propio personal, en algunos casos incluyendo información sobre agentes de operaciones encubiertas, vigilancia y contrainteligencia. El patrón que conecta los tres episodios es casi idéntico: infraestructura crítica delegada en proveedores tecnológicos privados, y fallas de seguridad que, según demandas judiciales y reportes internos, venían siendo advertidas desde adentro mucho antes de que explotaran públicamente.
DHS: 40.000 empleados, vía un proveedor externo
A fines de octubre de 2026, el sitio de filtraciones Distributed Denial of Secrets (DDoSecrets) publicó datos de más de 40.000 empleados del Departamento de Seguridad Nacional, incluyendo personal de ICE, la Oficina de Aduanas y Protección Fronteriza (CBP), Investigaciones de Seguridad Nacional (HSI) y la Agencia de Ciberseguridad e Infraestructura (CISA). Los datos incluyen nombres, teléfonos, correos electrónicos, cargos y membresías a grupos de correo interno que permiten identificar quién trabaja en operaciones especiales, vigilancia, forense computacional y roles encubiertos —en algunos casos revelando organigramas no públicos o programas hasta entonces desconocidos.
La filtración fue reivindicada por un grupo que se autodenomina «Department of Peace», que había atacado al DHS una primera vez en marzo de 2026, cuando publicó documentos sobre contratos con proveedores externos. En esta segunda filtración, el grupo justificó el ataque con una frase que resume bien la lógica de la represalia simétrica: «ellos tienen nuestra información, así que es justo que nosotros tengamos la suya». Según Emma Best, cofundadora de DDoSecrets, los datos se obtuvieron de Okta, el servicio de inicio de sesión único que usa el DHS para gestionar accesos internos —aunque Reuters no pudo corroborar de forma independiente ese origen, y Okta respondió que su plataforma «es segura» y que no tiene evidencia de que sus propios sistemas hayan sido comprometidos. El DHS confirmó estar «al tanto de una posible brecha» y dijo estar trabajando para proteger a su personal.
Este episodio de octubre no fue el primer ataque de este tipo contra el DHS en 2026. En enero, un sitio llamado «ICE List» —operado por un ciudadano irlandés radicado en los Países Bajos, fuera de la jurisdicción estadounidense— publicó datos de unos 4.500 agentes de la Patrulla Fronteriza y de ICE: nombres, correos, teléfonos y cargos, presuntamente con ayuda de un informante interno del propio DHS. Esa filtración se produjo apenas días después de que un agente de ICE matara a Renée Good en Minneapolis, y horas más tarde el sitio sufrió un ataque de denegación de servicio que lo sacó de línea —con sospechas, nunca confirmadas con certeza por el propio operador del sitio, de origen ruso—. La funcionaria del DHS Tricia McLaughlin condenó la filtración y prometió procesar al responsable si era identificado.
FBI: «casi todos los agentes», según los atacantes
El 22 y 23 de septiembre de 2026, el grupo de hackers ShinyHunters afirmó haber robado entre 2 y 3 terabytes de datos de FBIJobs.gov, el portal de empleo en línea del FBI. Según el grupo, los registros incluyen nombres de agentes actuales, exagentes y postulantes, junto con domicilios, teléfonos, nombres de cónyuges y, en algunos casos, información médica. ShinyHunters le dijo al New York Times que los datos afectaban a «decenas de miles de personas» y llegó a sostener que tenía información de «casi todos» los agentes del FBI y postulantes al cargo —una afirmación de los propios atacantes, no un número verificado de forma independiente.
El motivo declarado por el grupo fue la represalia: según su propio mensaje, atacaron al FBI en respuesta a una alerta emitida en la primavera de 2026 que describía sus tácticas de hostigamiento y coerción contra víctimas y sus familias, y exigieron que el FBI «corrigiera o directamente eliminara» esa alerta en un plazo de una semana. El FBI confirmó estar al tanto de las afirmaciones y dijo estar investigando, sin determinar todavía si el ingreso se produjo a través de un proveedor externo o de sus propios sistemas internos —la misma incertidumbre sobre terceros que atraviesa el caso del DHS—. Especialistas en seguridad y exfuncionarios consultados consideraron que la filtración parecía auténtica, y advirtieron sobre riesgos de contrainteligencia —la posibilidad de que servicios de inteligencia extranjeros usen esos datos para operaciones de espionaje— y sobre peligro físico directo para los agentes y sus familias ante personas con rencores personales.
Este episodio se suma a una serie de incidentes de seguridad informática sufridos por el FBI durante 2026: a principios de año, la agencia encontró lo que cree que fueron hackers chinos infiltrados en una base de datos de sus órdenes de vigilancia doméstica, en conexión con una campaña de intrusión divulgada ya en 2024 contra el sistema que procesa escuchas telefónicas domésticas. En marzo, un grupo hacktivista proiraní, vinculado al Ministerio de Inteligencia y Seguridad de Irán, filtró correos electrónicos personales del propio director del FBI, Kash Patel. Especialistas citados en la cobertura periodística compararon la magnitud potencial de la filtración de ShinyHunters con el robo de datos de la Oficina de Gestión de Personal (OPM) de 2015, que expuso unos 20 millones de registros y que hasta hoy se considera uno de los peores fallos de ciberseguridad en la historia del gobierno estadounidense.
Pentágono: una vulnerabilidad de nueve meses, sin cifrar
El tercer caso no fue un ataque reivindicado por un grupo hacktivista, sino una falla de seguridad lisa y llana. El Centro de Datos de Personal de Defensa (DMDC) reconoció en septiembre de 2026 haber detectado, el 16 de julio, una vulnerabilidad en un sistema de intercambio de archivos que permitió a usuarios no autorizados acceder a archivos sin cifrar que contenían nombres completos, números de Seguro Social, fechas de nacimiento y ocupaciones militares de personal del Departamento de Defensa. Según una demanda colectiva presentada en octubre en un tribunal federal de Washington D.C. por dos marines —la veterana Tristyn Edwards y la infante en actividad Morgan Stampfli—, la falla expuso «millones de archivos» durante unos nueve meses antes de ser descubierta, y algunas de las personas afectadas recién fueron notificadas dos o tres meses después del hallazgo.
La demanda no se limita a reclamar por el daño sufrido —las dos marines reportan cargos fraudulentos y un aumento de spam desde la filtración—, sino que apunta directamente a una negligencia sistemática: según el escrito, informes de la Oficina del Inspector General del Departamento de Defensa ya habían encontrado que la agencia no lograba demostrar un funcionamiento efectivo en 14 de 20 métricas centrales exigidas por la ley federal de gestión de seguridad de la información (FISMA). La demanda sostiene que controles estándar de la industria —cifrar o tokenizar los números de Seguro Social, revisar cuentas periódicamente, escanear vulnerabilidades, monitorear registros de actividad— podrían haber evitado el incidente, y que el Pentágono falló además en notificar «con prontitud» a los afectados. Como respuesta, el Departamento de Defensa ofreció doce meses de monitoreo crediticio y servicios de restauración de identidad.
El denominador común: tercerizar la seguridad de lo más sensible
Más allá de las diferencias entre un hackeo reivindicado políticamente y una falla técnica no detectada durante nueve meses, los tres casos comparten un mismo nudo estructural: agencias con la mayor capacidad de vigilancia e inteligencia del mundo dependen, para funciones tan básicas como el inicio de sesión de sus empleados o el procesamiento de postulaciones laborales, de sistemas y proveedores externos —Okta en el caso del DHS, FBIJobs.gov como portal tercerizado en el caso del FBI— sobre los que no tienen control total ni visibilidad completa. Cuando algo falla en esa cadena, la propia agencia a menudo ni siquiera puede determinar con certeza si el problema estuvo en su infraestructura interna o en la del proveedor —exactamente lo que reconoció el FBI sobre su propia brecha.
Hay más de una forma de leer esta seguidilla de incidentes. Una lectura técnica, la más citada por especialistas en ciberseguridad, apunta a una falla estructural de gestión de riesgo: delegar funciones críticas en terceros sin la supervisión y los controles adecuados, documentada en el caso del Pentágono con métricas oficiales incumplidas durante años. Otra lectura, más política, enmarca estos ataques como parte de un ciclo de confrontación entre agencias de aplicación de la ley —en particular ICE y el DHS, señalados por organizaciones de derechos civiles por sus políticas migratorias— y actores que se definen a sí mismos como respuesta a esas políticas, lo cual no necesariamente las legitima como método, pero ayuda a explicar por qué estas agencias en particular se convirtieron en blanco repetido. Ambas lecturas no son excluyentes: una explica el «cómo» fue posible, la otra ayuda a explicar el «por qué» de estos blancos específicos.
Lo que queda, al final de estos cinco episodios, no es solo la exposición puntual de decenas de miles de personas —aunque eso ya sería grave por sí solo, con riesgos reales de contrainteligencia extranjera y de violencia dirigida contra agentes identificados—. Es la evidencia acumulada de que el aparato de seguridad más grande y mejor financiado del mundo construyó buena parte de su propia infraestructura sobre cimientos que no termina de controlar del todo, y que las alertas internas sobre esas debilidades —como las que cita la demanda contra el Pentágono— llevaban tiempo circulando antes de que el problema se hiciera público.
Hay datos que no se pueden dejar en manos de terceros, menos todavía cuando se trata de quién investiga a quién, quién vigila a quién y quién trabaja de incógnito para el Estado. El problema no es solo técnico —un servidor mal configurado, una vulnerabilidad sin parchear— es de diseño institucional: construir el aparato de seguridad nacional más grande del mundo sobre una cadena de proveedores privados que, cuando fallan, ni siquiera la propia agencia puede asegurar dónde estuvo el error.
Bastión se sostiene con trabajo, no con publicidad. Si esto te aportó algo, invitame un café.
☕ Invitame un café