Sede del DHS
La sede del DHS, cuyas agencias están en el centro de una importante filtración de datos de personal.

La exposición de los registros de miles de funcionarios estadounidenses de seguridad nacional ha generado dudas sobre si la información interna de las agencias podría utilizarse para atacar a empleados o revelar sus vínculos con equipos sensibles.

La base de datos, publicada por la organización de transparencia Distributed Denial of Secrets (DDoSecrets), contendría registros relacionados con más de 41.000 empleados y contratistas del Departamento de Seguridad Nacional de Estados Unidos (DHS). Entre ellos habría unos 6.600 funcionarios del Servicio de Inmigración y Control de Aduanas (ICE) y más de 21.000 empleados de la Oficina de Aduanas y Protección Fronteriza de Estados Unidos (CBP), además de registros asociados con otros componentes del DHS, como Investigaciones de Seguridad Nacional y la Agencia de Ciberseguridad y Seguridad de Infraestructura.

Más allá del número de registros expuestos, la combinación de contactos laborales y datos organizacionales podría facilitar la identificación de funcionarios vinculados con determinados equipos o tareas sensibles.

Los registros filtrados revelarían más que datos de contacto

La base de datos contendría nombres, direcciones de correo electrónico laborales, números telefónicos, ubicaciones de oficinas, cargos y pertenencia a grupos internos. Algunas entradas parecerían corresponder a funcionarios involucrados en labores de vigilancia, informática forense, operaciones especiales y trabajo encubierto.

Estos datos podrían ayudar a actores maliciosos a elaborar mensajes de phishing convincentes, hacerse pasar por colegas o identificar a empleados que cumplen funciones sensibles. El riesgo no proviene únicamente de los datos de contacto individuales, sino también de las conexiones que pueden inferirse al reunir los registros en una sola base de datos consultable.

Parte de la información podría haber estado disponible públicamente, mientras que otras entradas revelarían datos no públicos sobre la estructura interna del departamento. El conjunto completo de datos no ha sido autenticado de manera independiente y los registros podrían estar incompletos o contener errores.

La divulgación no demuestra que alguna operación haya sido comprometida ni que un empleado mencionado haya sufrido daños. Sin embargo, consolidar información que antes estaba dispersa en distintas fuentes puede facilitar su búsqueda, comparación y posible uso indebido.

El supuesto método para obtener los datos aún no está claro

Un grupo activista autodenominado Department of Peace se atribuyó la obtención de la información. El grupo presentó la publicación como una respuesta a la recopilación de datos sobre el público por parte del DHS y a sus políticas de control migratorio.

Emma Best, cofundadora de DDoSecrets, afirmó que los datos fueron extraídos mediante el servicio de inicio de sesión Okta del DHS, utilizado por los empleados para acceder a sistemas internos. La supuesta vía de acceso no ha sido verificada de forma independiente, y Okta aseguró que no tenía pruebas de que sus sistemas o datos hubieran sido comprometidos.

El DHS dijo que estaba al tanto de una posible brecha y que trabajaba para atender la situación y proteger a sus empleados. No se ha establecido públicamente el alcance exacto del incidente, la forma en que se accedió a los registros ni si persisten vulnerabilidades de seguridad sin resolver.

La exposición plantea dudas sobre la seguridad del personal

La divulgación se produce en medio de una preocupación más amplia por la seguridad de los funcionarios cuyos nombres y datos laborales quedan expuestos. El DHS ha buscado limitar la exposición de algunos funcionarios encargados del control migratorio, alegando que existen amenazas contra ellos y preocupaciones por su seguridad.

El incidente también ocurre después de otra brecha que involucró información de empleados y aspirantes a cargos de la Oficina Federal de Investigación (FBI), cuya autoría fue atribuida por el grupo de hackers ShinyHunters. Los incidentes son independientes y no existen pruebas establecidas que los vinculen.

La filtración pone de relieve la tensión entre la rendición de cuentas pública y la protección de funcionarios cuyas labores pueden incluir investigaciones sensibles. La información sobre las agencias gubernamentales puede ser relevante para la supervisión pública, pero publicar registros identificables del personal también puede exponer a individuos a acoso, engaños dirigidos o contactos no deseados.

El DHS ahora debe establecer qué registros son precisos, determinar el alcance de la exposición y evaluar si el personal o las investigaciones en curso enfrentan riesgos específicos. Hasta que esas preguntas tengan respuesta, el número total de registros ofrece solo una visión parcial de las posibles consecuencias.