Tres millones de fichas militares expuestas durante nueve meses sin detección
# El custodio de las identidades perdió tres millones de fichas y nadie lo notó
Hay brechas que hacen ruido: una banda de ransomware con su portal de filtraciones y una cuenta atrás. Esta no. Aquí la intrusión fue silenciosa por una razón más incómoda: no hubo alerta. Una vulnerabilidad en el sistema de compartición de archivos que opera el Defense Manpower Data Center, el organismo que gestiona la identidad del ejército de Estados Unidos, fue explotada por lo que el propio Pentágono llama un pequeño número de usuarios no autorizados, durante casi diez meses. El hallazgo no llegó por la monitorización. Llegó porque alguien encontró el fallo.
La cronología, reconstruida a partir de la carta de notificación que el Defense Manpower Data Center envió el 18 de septiembre de 2026, es precisa y bastante incómoda. El 16 de julio de 2026 se descubrió una vulnerabilidad en un sistema de compartición de archivos de DMDC que permitía a usuarios no acceder a ficheros. DMDC actualizó inmediatamente el sistema, aplicó el parche y restableció el servicio. Pero la misma carta dice que el análisis identificó que, entre octubre de 2025 y la fecha del descubrimiento, un pequeño número de usuarios no autorizados accedió a ficheros alojados en un servidor con información personal sin cifrar.
La ventana estuvo abierta unos 270 días. La brecha de la Oficina de Personnel Management de 2015, con 22 millones de empleados del Gobierno federal, cabe en una diapositiva de cualquier curso de concienciación. Esta expone los datos de alrededor de 3,05 millones de personas, el doble de la fuerza activa en servicio, y afecta de lleno a la infraestructura de identidad de las fuerzas armadas.
Lo que se expone y lo que sigue sin saberse
La cifra confirmada son 2,76 millones de personas vivas y 294.000 fallecidas, unos 3,05 millones en total. Military Times, que fue el primer medio en publicar el caso el 24 de septiembre tras revisar la carta de notificación, recoge una cifra oficial no confirmada: dos personas familiarizadas con el incidente estiman que alrededor de cuatro millones de efectivos podrían estar afectados.
En cada caso, el conjunto de datos expuesto es un número de la Seguridad Social más al menos un identificador adicional, y la combinación variaba de una persona a otra: nombre, fecha de nacimiento, datos de contacto, sexo, raza o información de personal militar, incluida la especialidad ocupacional. Los ficheros no estaban cifrados. La carta habla sin ambigüedad de un servidor con información personal sin cifrar.
Ahora viene la parte que debería parar en seco a cualquier responsable de seguridad, porque el encuadre que han usado la mayoría de titulares es incorrecto. El registro oficial confirma acceso no autorizado, no exfiltración masiva. Help Net Security lo dice sin rodeos: DMDC no ha revelado quién accedió a los ficheros ni si fueron copiados. Ningún grupo de cybercrime ha reclamado el ataque. El Pentágono no ha publicado ni el nombre del producto de compartición de archivos, ni el identificador CVE, ni la identidad de los usuarios no autorizados, ni su motivo.
El representante del Departamento de Defensa sí afirmó que el departamento no tiene indicios de uso indebido de la información accedida. Léase eso como ausencia de indicios, no como indicio de ausencia: nadie ha dicho que los datos salieran, y nadie ha dicho que se quedaran.
También hubo preguntas que el representante oficial declinó responder: quién accedió a los datos, si las personas afectadas pertenecen a algún grupo concreto, si la brecha fue intencionada y por qué se guardaba información personal en un servidor sin cifrar.
El problema de detección, dicho sin rodeos
La frase más importante de todo el caso no va del Pentágono, va de la detección. La brecha no se detectó vigilando. Se detectó porque alguien encontró la vulnerabilidad, y solo entonces alguien miró hacia atrás.
CybelAngel, en su análisis para el lector de empresa, puso un número encima: la intrusión duró unos 270 días frente a un benchmark industrial de detección para este tipo de eventos de 160 a 200 días. Eso no es un valor extremo. Es más o menos la media del sector, y ahí está el problema: el promedio es la acusación.
Si el tiempo típico que tardas en notar una intrusión lenta en una plataforma de archivos es de cinco a siete meses, cualquier plan que dependa de detectar la intrusión está, con los números en la mano, roto de antemano.
El patrimonio, la exposición y la aritmética del radio de impacto
El Defense Manpower Data Center se fundó en 1974. Es la fuente central para identificar, autenticar y autorizar información sobre el personal durante su afiliación al Departamento de Defensa y después de ella, y mantiene más de 60 millones de registros que cubren personal militar y civil, contratistas, familiares, retirados y veteranos. La cifra de 60 millones corresponde al ejercicio fiscal 2024 y el patrimonio abarca expedientes de personal, efectivos, formación y finanzas.
Frente a ese patrimonio, 3,05 millones de registros expuestos son alrededor del cinco por ciento. CybelAngel afila el punto: un techo que habría sido veinte veces mayor con un acceso más amplio. Léelo como una observación de diseño y no como una estadística. El cinco por ciento expuesto es lo que permitió la vía de acceso; el otro noventa y cinco por ciento estaba detrás de la misma identidad y de la misma plataforma.
DMDC es además el principal proveedor de gestión de identidades de las fuerzas armadas: vincula a militares, empleados y contratistas con las credenciales que se usan para acceder a sistemas informáticos del Pentágono, a edificios y a bases. Su propia web enuncia la misión con una simplicidad desarmante: "We make sure that the right people get access and the wrong people don't: security of identity information is paramount".
Esa frase conviene leerla dos veces, junto a una brecha de datos de personal sin cifrar en un sistema de archivos sin vigilar. Sea cual sea la conclusión del caso, deja una distancia evidente entre la misión declarada de un sistema y su realidad operativa.
La paradoja del cumplimiento
Este es el detalle más incómodo de la historia para cualquiera que trabaje en un sector regulado, y viene del análisis de TechTarget.
DMDC cumple los programas de seguridad FedRAMP, FISMA y NIST 800-171 según los requisitos del Departamento de Defensa. El DoD exige a sus contratistas que implementen CMMC Level 2, que incluye directrices de cifrado en reposo. Y aun así, los registros expuestos estaban sin cifrar.
El mismo análisis caracteriza el incidente como un fallo de controles fundamentales: cifrado, gestión de accesos y monitorización, más que el resultado de un ciberataque sofisticado. Shahar Peled, CEO y cofundador de Terra Security, lo formula sin rodeos: las brechas de esta escala rara vez se reducen a un ataque sofisticado, y más bien exponen fallos en lo básico.
Nicholas Carroll, responsable de respuesta a incidentes en Nightwing, extrajo la lección de gobierno: más fuerte no significa más normativas, significa asegurarse de que las protecciones que ya esperas se implementan, se prueban y se mantienen de forma consistente. Las organizaciones necesitan saber dónde vive la información sensible, quién puede acceder a ella, cómo está protegida y si alguien está vigilando actividad sospechosa.
Gary Barlet, responsable técnico para el sector público en Illumio, fue más directo: la realidad incómoda es que no hay consecuencias suficientes por no proteger esos datos. Mientras las organizaciones no respondan por el impacto de las brechas, muchas seguirán tratando la ciberseguridad como un ejercicio de cumplimiento y no como un imperativo de resiliencia.
Si tu empresa trabaja con ISO 27001, SOC 2 o el RGPD, tienes disponible exactamente el mismo modo de fallo. La distancia entre un control configurado y un control aplicado es la distancia en la que vivió este incidente.
La demanda, el daño documentado y el precedente
La demanda colectiva presentada el 20 de octubre de 2026 en el Tribunal Federal de Distrito de Columbia por dos marines añade una segunda acusación: el departamento violó la Privacy Act de 1974 al no salvaguardar la información personal sensible ni implementar controles de ciberseguridad adecuados, pese a advertencias internas. La denuncia cita informes del inspector general que se remontan a 2021, cuando ya se advertía de problemas en las prácticas de ciberseguridad del departamento, y describe el incidente como una carencia manifiesto de controles y monitorización.
También denuncia que DMDC no notificó con prontitud a las personas afectadas, algunas de las cuales se enteraron dos o tres meses después de que se encontrara la brecha, y que el DoD no ofreció ninguna garantía de que los datos o sus copias hayan sido recuperados o destruidos.
El daño documentado en los casos de los demandantes ya no es hipotético. Uno reporta correos que dicen que su información personal está disponible en la dark web, más de 300 dólares en cargos fraudulentos en su tarjeta de débito, un aumento claro de llamadas y correos basura, y la imposibilidad de congelar su crédito por razones de su habilitación de seguridad. El otro reporta una compra online no autorizada de más de 270 dólares en una tarjeta de débito de Navy Federal Credit Union días después de recibir el aviso, realizada con sus datos personales y de facturación correctos. Ese segundo caso es el que debería estar en tu registro de riesgos: los datos estaban lo bastante completos para pasar las comprobaciones del comercio.
El contexto importa. La brecha de OPM en 2015 dio al mundo 22 millones de registros. Esta es la segunda brecha importante de datos de personal federal en semanas: el grupo de extorsión ShinyHunters irrumpió en el portal FBIJobs.gov del FBI mediante un día cero en Oracle PeopleSoft, y varios terabytes de datos sobre casi todos los agentes del FBI, incluidos miembros de la Unidad de Operaciones Remotas, y dijo que el incidente del FBI no era extorsión ni rescate, ni estaba movido por el dinero. No es la misma historia, pero comparte una forma: los sistemas de identidad y personal valen el ataque precisamente porque guardan el dato de más valor y tienen la monitorización operativa más débil.
Qué hacer en las próximas 24 horas
El orden importa. Empieza por la plataforma que nadie es dueño de.
Primero, inventaría todas las plataformas de compartición de archivos y de transferencia gestionada del parque, incluidas las que se desplegaron fuera del conocimiento de TI. El shadow IT es donde vive el dato de personal sin cifrar. La notificación de DMDC nunca nombró su producto, así que la única forma de detectar una dependencia compartida es mirar lo que realmente ejecutas.
Segundo, demuestra que los datos de esas plataformas están cifrados en reposo, y demuéstralo desde el sistema de ficheros, no desde la pantalla de configuración. Un ajuste que dice que hay cifrado no es prueba de cifrado:
lsblk -o NAME,TYPE,FSTYPE,MOUNTPOINT | grep -iE 'crypt|luks|zfs' findmnt -no SOURCE,TARGET,FSTYPE,OPTIONS /mnt/fileshare
Tercero, busca la clase de dato exacto que se robó. Número de la Seguridad Social más un segundo identificador, o su equivalente local, es lo que convierte un robo en un negocio rentable:
grep -rIlE '[0-9]{3}-[0-9]{2}-[0-9]{4}' /mnt/fileshare 2>/dev/null | head -50 grep -rIlEi 'military occupational specialty|ossn|ossif' /mnt/fileshare 2>/dev/null | head -20
Cuarto, fija la cronología en números duros, porque "unos nueve meses" no es algo que se pueda presentar a un consejo. La ventana que hay que entregar a los abogados, a las aseguradoras y al equipo de respuesta va del 1 de octubre de 2025 al 16 de julio de 2026:
find /mnt/fileshare -type f -newermt '2025-10-01' ! -newermt '2026-07-16' -printf '%TY-%Tm-%Td %10s %p ' | sort | head -100
Quinto, comprueba si podrías investigar siquiera. La retención de logs fue lo que hizo posible el análisis forense del propio DMDC, y la demanda sostiene que no se hacía monitorización rutinaria de logs. Si tus logs rotan cada treinta días, no vas a poder responder a la pregunta que importa:
grep -RniE 'maxage|rotate|compress' /etc/logrotate.conf /etc/logrotate.d/ 2>/dev/null journalctl --disk-usage journalctl --since '2025-09-01' --until '2026-07-17' | wc -l
Sexto, instrumenta el comportamiento y no la herramienta. La firma genérica de esta clase de intrusión son muchas lecturas o enumeraciones de ficheros por una misma identidad en una ventana corta, y eso se expresa como regla de detección:
title: Mass file enumeration on file sharing platform status: experimental logsource: category: proxy product: mft detection: selection: EventID: 3 condition: selection falsepositives: - Bulk migration or legitimate batch job level: medium tags: - attack.defense_evasion - attack.t1070.004
Séptimo, y este es el que recuerda un consejo: calcula tus propias cifras en vez de repetir las de otro. El tiempo de permanencia, la distancia entre descubrimiento y notificación y la exposición como porcentaje de tu patrimonio son aritmética, y se hacen en una tarde:
python3 -c "from datetime import date; print('dwell_days_oct1',(date(2026,7,16)-date(2025,10,1)).days); print('discover_to_notice',(date(2026,9,18)-date(2026,7,16)).days); print('discover_to_first_press',(date(2026,9,24)-date(2026,7,16)).days); print('discover_to_lawsuit',(date(2026,10,20)-date(2026,7,16)).days)"
Qué le cuentas a tu consejo
Si tienes que informar a un consejo o a un cliente sobre una clase de incidente como este, tres frases sostienen el peso de la conversación.
La exposición fue larga, silenciosa y no la detectó la monitorización, sino una casualidad: alguien encontró la vulnerabilidad y después se reconstruyó la historia. Esa es la parte que tu organización controla, porque lo único que la cambia es instrumentar las plataformas de archivos y conservar los logs que demuestran qué pasó.
Los datos expuestos no estaban cifrados, no porque a la organización le faltara una política de cifrado, sino porque la plataforma donde vivían nunca entró dentro de la política. La solución no es otro estándar, es un inventario que incluya los sistemas que se te olvidó que tenías.
Y las consecuencias ya son legales, además de económicas. La demanda colectiva pide más de cinco millones de dólares en daños para más de tres millones de personas, y se apoya en informes del inspector general que datan de 2021. Las advertencias ignoradas son una categoría de responsabilidad por sí mismas, y la razón para actuar antes de un incidente es que la evidencia de tus propias advertencias ya está en el expediente de otro.
Para el personal afectado, la mitigación es pública y sencilla: doce meses de vigilancia crediticia y restauración de identidad a través de Identity Theft Guard Solutions en response.idx.us/DMDC o en el 1-855-744-4556, con inscripción abierta hasta el 19 de agosto de 2027, más el bloqueo de crédito en las tres agencias, que varios de los afectados no pudieron completar por su habilitación de seguridad.
Para el resto, la lista es corta y se termina esta semana: encuentra las plataformas de archivos que no tiene dueño, demuestra el cifrado, conserva los logs, vigila las enumeraciones masivas y sabe dónde están realmente tus datos sensibles. El Pentágono ha gastado nueve meses de investigación y sesenta millones de registros para aprenderlo. Tú puedes aprenderlo en una tarde de martes.