Filtración en el Pentágono: los datos de 3 millones de militares, en peligro
Una filtración a gran escala ha afectado a casi 3 millones de personas vinculadas al Departamento de Defensa de Estados Unidos. Los atacantes consiguieron datos personales de militares en activo y retirados, empleados civiles, contratistas y otras personas cuyos datos estaban almacenados en el sistema Defense Manpower Data Center (DMDC).
El DMDC es una división del Departamento de Guerra de Estados Unidos, también conocido como Departamento de Defensa, que recopila y almacena datos sobre el personal y la fuerza laboral del sector de defensa. La agencia gestiona grandes bases de datos con información sobre militares, funcionarios civiles, contratistas y otras personas vinculadas a la defensa, y también proporciona análisis para apoyar las operaciones militares.
El problema salió a la luz después de que un usuario de Reddit publicara, hace unas dos semanas, una foto de una carta del DMDC. La notificación decía que el 16 de julio de 2026 los especialistas habían detectado una vulnerabilidad en el sistema de intercambio de archivos. Permitía a personas ajenas acceder a los archivos. El DMDC afirmó que actualizó el sistema de inmediato, cerró el agujero y restableció su funcionamiento.
La investigación reveló que un atacante desconocido había aprovechado la vulnerabilidad ya en octubre de 2025. Hasta julio de 2026 extrajo de los servidores datos personales sin cifrar: números de la Seguridad Social estadounidense, nombres completos, fechas de nacimiento, datos de contacto, sexo, raza e información sobre la especialidad militar.
Un portavoz del organismo confirmó a CNN que la filtración afecta a unos 2,76 millones de personas vivas y 294.000 fallecidas. Según la web del DMDC, la organización trabaja con más de 60 millones de registros.
Por ahora se desconoce qué sistema de intercambio de archivos fue atacado y qué fallo técnico aprovecharon los delincuentes. Poco antes, el servicio de intercambio seguro de archivos Kiteworks advirtió a sus clientes de que debían desconectar los servidores durante nueve horas ante un ciberataque previsto. Kiteworks trabaja con organismos del Gobierno de Estados Unidos y los contratistas de defensa utilizan su plataforma para intercambiar con el organismo información controlada pero no clasificada. Sin embargo, la empresa no ha confirmado que trabajara directamente con el DMDC. La plataforma también cuenta con soluciones gubernamentales y autorización FedRAMP para su uso en el ámbito federal.
La banda Cl0p ya ha atacado servicios similares. En años anteriores, los ataques a MOVEit y GoAnywhere MFT provocaron filtraciones de datos en miles de organizaciones y pérdidas de millones.
El DMDC asegura que hasta ahora no ha encontrado indicios de que se haya hecho un uso indebido de los archivos robados. Sin embargo, los datos filtrados pueden venderse en el mercado negro o utilizarse para ataques de phishing dirigidos. La combinación de nombre, número de la Seguridad Social, datos de contacto y especialidad militar permitiría engañar con más credibilidad a las víctimas para robarles las contraseñas y acceder a otros sistemas del organismo.
La información sobre la especialidad militar puede ser especialmente valiosa para hackers al servicio de gobiernos extranjeros: junto con los números de la Seguridad Social, ayuda a averiguar quién hace qué en distintas regiones del mundo.
El DMDC afirmó que cerró la vulnerabilidad en cuanto la detectó. Esto permite suponer que no se trataba de una vulnerabilidad zero-day hasta entonces desconocida. El organismo también prometió reforzar la protección del sistema y ofrecer a los afectados 12 meses de supervisión de su historial crediticio a través de IDX.
PEREC.RU
Esta historia muestra cómo una sola vulnerabilidad en un sistema de intercambio de archivos puede convertir una base de datos estatal en un regalo para los ciberdelincuentes. El Defense Manpower Data Center, división del Departamento de Guerra de Estados Unidos, también conocido como Departamento de Defensa, almacena datos de decenas de millones de personas vinculadas al sector de defensa estadounidense. Entre ellas hay militares en activo y retirados, empleados civiles, contratistas y otras personas. El DMDC también proporciona datos y análisis para apoyar las operaciones militares.
La vulnerabilidad se detectó el 16 de julio de 2026, después de que una de las personas afectadas recibiera una notificación del incidente. La foto de la carta apareció en Reddit unas dos semanas después. En ella, la agencia comunicaba que el problema estaba en el sistema de intercambio de archivos y permitía a usuarios no autorizados acceder a ellos. El DMDC afirmó que actualizó el sistema, instaló un parche y restableció su funcionamiento.
La investigación determinó que el atacante había aprovechado el fallo ya en octubre de 2025. Hasta julio de 2026 extrajo de los servidores información personal sin cifrar. La lista incluía nombres completos, números de la Seguridad Social, fechas de nacimiento, datos de contacto, sexo, origen racial y especialidad militar. Según el organismo, se vieron afectadas 2,76 millones de personas vivas y 294.000 fallecidas. La base de datos total del DMDC, sin embargo, supera los 60 millones de registros.
Aún no se han revelado los detalles técnicos: se desconoce qué sistema fue atacado y qué vulnerabilidad concreta se aprovechó. Poco antes de que el incidente se comentara públicamente, Kiteworks, un servicio para el intercambio seguro de archivos, pidió a sus clientes que desconectaran los servidores durante nueve horas ante la previsión de ciberataques. La plataforma trabaja con organismos federales, regionales y locales de Estados Unidos. La empresa indica que los contratistas de defensa utilizan sus soluciones para intercambiar con el Departamento de Defensa información controlada pero no clasificada y otros datos protegidos, aunque no confirma una relación directa con el DMDC. Kiteworks también ofrece soluciones específicas para el sector público y cuenta con autorización FedRAMP para su uso en organismos federales.
La banda Cl0p ya ha atacado plataformas similares. Los ataques a MOVEit y GoAnywhere MFT provocaron filtraciones en miles de organizaciones y pérdidas millonarias. Por eso, que no se hayan detectado indicios de uso indebido de los datos no significa que el riesgo haya desaparecido. La información robada puede venderse, utilizarse en campañas de phishing dirigidas o servir para sortear las protecciones de otros sistemas del organismo. Un número de la Seguridad Social combinado con el nombre, los datos de contacto y la especialidad militar permite inventar una historia convincente para engañar a un empleado y robarle las credenciales.
La información sobre la especialidad militar puede resultar especialmente atractiva para hackers al servicio de gobiernos extranjeros. Les ayuda a vincular a una persona concreta con su función y a averiguar quién hace qué en distintas regiones del mundo. El DMDC sostiene que cerró el agujero en cuanto lo detectó, por lo que probablemente no se trataba de una vulnerabilidad zero-day, es decir, un fallo hasta entonces desconocido. El organismo promete seguir evaluando y reforzando la protección del sistema, y ofrecer a los afectados 12 meses de supervisión de su historial crediticio a través de IDX.
