El Pentágono dice que la brecha del DMDC expuso a 2.76 millones de personas vivas durante nueve meses

El Pentágono ha revelado que un fallo en un sistema de intercambio de archivos del Defense Manpower Data Center expuso los datos personales de unas 2.76 millones de personas vivas, junto con cerca de 294,000 personas fallecidas, y que usuarios no autorizados tuvieron acceso a los archivos durante casi nueve meses antes de que nadie lo detectara.

Lectura relacionada: La filial de internet de Sony en Japón dice que una brecha expuso 2,6 millones de registros · Capcom dice que una brecha expuso 11,7 millones de registros de CAPCOM ID y permitió a un atacante cambiar 196 contraseñas.

El centro, conocido como DMDC, descubrió la vulnerabilidad el 16 de julio de 2026, aplicó un parche al sistema y lo restableció. Una investigación determinó después que un número reducido de usuarios no autorizados llegó a los archivos en algún momento entre octubre de 2025 y el día del hallazgo, una ventana de unos nueve meses. Los archivos no estaban cifrados. Las cifras de alcance proceden de un funcionario del Departamento de Defensa; el departamento ahora se presenta como Department of War en el uso de esta administración.

CNN informó de la revelación el 25 de septiembre. TIME, ABC News y Federal News Network siguieron en días posteriores con el alcance de la intrusión. Ars Technica informó el 1 de octubre de que el Pentágono había empezado a notificar a «más de 2 millones» de personas y describió la brecha como comprometedora de «los registros de 2.8 millones de personas vivas».

Los dos conjuntos de cifras describen el mismo suceso. Los 2.76 millones de vivos y los 294,000 fallecidos son las cifras precisas del departamento, un total de unos 3.05 millones de registros. «2.8 millones» y «más de 3 millones» son redondeos. La diferencia es pequeña, pero merece la pena observar en qué cifra acaba asentándose el departamento.

Qué guarda el DMDC y qué se filtró

El DMDC es la operación central de registros de personal del Pentágono, y es enorme. En el ejercicio fiscal 2024 contenía al menos 60 millones de registros que abarcaban personal militar y civil, contratistas, familiares, jubilados y veteranos. Un almacén de ese tamaño es un objetivo de otra naturaleza que el directorio de empleados de una sola agencia.

La mezcla de personas en esos registros es parte de lo que hace incómodo manejar el incidente. Un archivo del DMDC no se corresponde limpiamente con una lista de empleados actuales. Puede incluir cónyuges y dependientes, contratistas que nunca vistieron un uniforme, jubilados que se fueron hace décadas y veteranos cuyo servicio es anterior a las protecciones modernas de identidad. Notificar a todos ellos con precisión, y llegar a personas cuyos datos de contacto pueden estar obsoletos, es un ejercicio lento.

Los campos expuestos variaban de una persona a otra, pero el departamento dice que cada registro contenía un número de Seguro Social más al menos otro identificador: nombre, fecha de nacimiento, datos de contacto, sexo, raza e información de personal militar como la especialidad ocupacional.

La escala cambia la naturaleza del daño. Con al menos 60 millones de registros en un mismo lugar, la colección es lo bastante grande para que un intruso busque patrones en lugar de individuos: militares en activo, unidades concretas, códigos de puesto específicos, jubilados recientes. Ese tipo de filtrado es lo que convierte una filtración masiva en una dirigida.

La falta de cifrado también importa. No habría detenido a un intruso que llegara a un servicio de intercambio de archivos autorizado con acceso válido, pero habría limitado el valor de cualquier archivo copiado. Sin cifrado, los datos quedaban legibles una vez obtenido el acceso.

Por qué importa la especialidad ocupacional

Security Affairs señaló en particular la especialidad ocupacional. Es la parte de un registro que ayuda a un servicio de inteligencia extranjero a encontrar a las personas que busca.

Un número de Seguro Social permite el robo de identidad, que ya es bastante malo para el individuo. Un código de puesto más un nombre más un SSN permiten la selección de objetivos. Operadores de inteligencia de señales, tropas de operaciones especiales, especialistas en ciberseguridad y personal vinculado a programas nucleares o de misiles son exactamente las personas cuya especialidad ocupacional las hace interesantes para un servicio extranjero. Quien tenga el conjunto de datos completo puede filtrar por esos códigos a escala y cruzar después nombres, fechas de nacimiento y datos de contacto para armar una lista corta. Esa es la diferencia entre una carta de notificación y un problema de contrainteligencia.

No todos los registros afectados incluían la especialidad, y el departamento no ha dicho cuántos. La exposición es variable, así que el riesgo práctico también lo es.

El valor de un campo como la especialidad ocupacional también crece con cada filtración adicional. Un código de puesto es más útil cuando puede cruzarse con un nombre, una fecha de nacimiento o una dirección que aparecieron en una brecha distinta. Los datos de personal tienen una vida útil larga, y registros reunidos con años de diferencia pueden combinarse en un perfil que ninguna divulgación por separado sostendría.

Una intrusión silenciosa junto a una campaña ruidosa

Esta es la segunda brecha federal estadounidense importante revelada en un mes, y las dos no se parecen en nada.

El grupo de extorsión ShinyHunters afirmó haber hackeado sistemas del FBI y robado registros de miles de empleados actuales o antiguos de la agencia. Reuters informó de que los registros incluían títulos de puestos vinculados a investigaciones sobre China o Rusia. La policía neerlandesa detuvo a un presunto miembro de ShinyHunters, un hombre de 24 años en Ámsterdam. Brett Leatherman, director adjunto de la División Cibernética del FBI, publicó un vídeo en el que instaba a los miembros del grupo a entregarse.

"Cuanto más tiempo sigas en esto, más aprendemos sobre ti... sabemos cómo encontrarte. Sugiero que te pongas en contacto primero, mientras la elección sigue siendo tuya." — Brett Leatherman, director adjunto, División Cibernética del FBI

ShinyHunters busca atención, y su campaña llegó con una reclamación pública, una víctima con nombre y una detención. La intrusión del DMDC llegó por el camino opuesto: sin reclamación, sin autor identificado y sin relato público de cómo ocurrió. Para los defensores, el caso silencioso es el más difícil de trabajar, porque no hay una persona criminal que rastrear ni una nota de rescate que analizar.

Las dos campañas también difieren en lo que dan a los investigadores. Una reclamación pública, incluso interesada, ofrece un punto de partida: un grupo que seguir, una infraestructura que mapear, un móvil que poner a prueba. Una intrusión sin reclamación no ofrece nada de eso. El caso del DMDC tiene que reconstruirse a partir de registros y análisis forense del sistema, y el departamento no ha dicho qué mostraron.

El precedente del OPM

La brecha de 2015 de la Oficina de Administración de Personal de Estados Unidos (OPM) es la comparación que se ha repetido en la cobertura del caso del DMDC. Piratas informáticos vinculados al Estado chino obtuvieron 22.1 millones de registros de verificaciones de antecedentes, incluidos datos de huellas dactilares, y el caso sigue siendo la medida del daño a los datos de personal del gobierno estadounidense. Con ese baremo, las cifras del DMDC, incluso en unos 3.05 millones, se leen con seriedad y no como un recuento rutinario más.

El OPM también expuso algo más que identidades: reveló quién trabajaba en qué, la misma categoría de información que aquí aporta la especialidad ocupacional. La escala del DMDC es menor. La sensibilidad por registro se solapa.

En ambos casos, los datos filtrados son permanentes de una forma en que una contraseña no lo es. Un número de Seguro Social no puede reemitirse, y un título de puesto y una fecha de nacimiento filtrados no caducan. Por eso las brechas de personal se tratan como un riesgo de por vida.

Lo que sigue sin conocerse

Ningún grupo de ciberdelincuencia conocido ha reclamado la autoría de la brecha del DMDC. El Pentágono no ha dicho cómo entraron los atacantes, si ha contactado con los responsables ni si hubo exigencias de rescate.

Los funcionarios dicen que los datos robados no se han utilizado indebidamente. No han explicado cómo llegaron a esa conclusión. Demostrar un hecho negativo sobre datos personales robados es casi imposible: el uso indebido suele aflorar meses o años después en forma de fraude, phishing o selección de objetivos, y una ventana de nueve meses de acceso no detectado es lo bastante larga para que la ausencia de un uso indebido observado hasta ahora no sea una prueba sólida de su inexistencia.

Nueve meses son una ventana larga. Dieron a los intrusos tiempo para copiar archivos, ampliar el acceso y borrar rastros, y alargaron el periodo en el que pudo prepararse cualquier uso indebido. Los funcionarios no han dicho qué mostraron los registros.

Qué deberían hacer las personas afectadas

Cualquiera a quien se le haya comunicado que está afectado debería inscribirse en la vigilancia crediticia que el DMDC ofrece a través de IDX, y hacerlo antes del plazo del 19 de agosto de 2027, no a última hora. Un bloqueo de crédito en los principales burós es un control más fuerte que la vigilancia, aunque hay que levantarlo cada vez que la persona solicita crédito. La vigilancia es útil sobre todo porque saca a la luz una cuenta abierta a nombre de otro después de los hechos.

Como los registros filtrados combinan un SSN con un nombre y, en muchos casos, datos de contacto, el uso indebido más probable es el fraude de identidad y el phishing dirigido, y no una toma de control de cuenta puntual. El phishing que cita un código de puesto real y una unidad real resulta más convincente que un señuelo genérico, y es el tipo de cosa que no aparecerá en un informe de crédito. Las personas afectadas deberían tratar los mensajes inesperados sobre su historial de servicio con más recelo de lo habitual.

Qué hay que seguir

Hay tres cosas que merece la pena seguir. Atribución: si el gobierno estadounidense nombra a un culpable o vincula formalmente la intrusión con un Estado o un grupo criminal. Corrección del alcance: si la cifra de 2.76 millones se mantiene una vez completada la notificación, o si el departamento la revisa como se revisaron las cifras del OPM. Y explicación: si los funcionarios ofrecen algún respaldo a la afirmación de que los datos no se han utilizado indebidamente, o la dejan como una garantía sin pruebas.

Los sistemas de intercambio de archivos son un punto débil recurrente en las grandes organizaciones por una razón sencilla. Existen para mover documentos entre personas, lo que significa que están hechos para ser accesibles y para contener datos en forma utilizable. Un control que hace más seguro un recurso compartido, como exigir autorización explícita para cada archivo y cifrar todo en reposo, también lo hace menos cómodo. Esa tensión explica por qué los repositorios compartidos, y no las bases de datos reforzadas, aparecen tan a menudo en las divulgaciones de brechas. El departamento no ha descrito el fallo concreto del DMDC, pero el contorno, un almacén sin cifrar accesible por usuarios no autorizados durante meses, sigue una forma conocida.

Una atribución formal sería un paso significativo. Nombrar a un Estado o a un grupo criminal es un acto político y jurídico tanto como técnico, y los gobiernos suelen esperar a una evaluación que estén dispuestos a defender. Una reclamación pública de un grupo, o una detención, sería una señal más rápida. Hasta ahora no hay ninguna de las dos, lo que deja el incidente sin una respuesta pública a su pregunta más básica: quién se llevó los archivos.

Hasta que ese patrón cambie en las agencias federales de personal, las cartas de notificación seguirán saliendo.

Imagen de portada: un militar estadounidense inserta una tarjeta de acceso común en un teclado. Foto del Cuerpo de Marines de Estados Unidos, dominio público.