La filtración de datos de 41.000 empleados del DHS ya está publicada en DDoSecrets, y detrás hay un nombre propio: Department of Peace.
El sitio apareció el miércoles 28 de octubre. Lo que contiene no es un volcado más de correos y teléfonos: es el organigrama funcional del Departamento de Seguridad Nacional de Estados Unidos, con nombres, direcciones corporativas y números de contacto de más de 41.000 empleados y contratistas. Distributed Denial of Secrets y la hacker suiza maia arson crimew recibieron el material de un colectivo hacktivista que firma como Department of Peace —nada que ver con ninguna agencia federal, aunque el nombre invite a la confusión— y que asegura haberlo extraído de un servicio de identidad Okta utilizado dentro del departamento. Le adelanto que el volumen, aquí, es lo de menos.
El DHS no había respondido públicamente al cierre de esta pieza. Okta, en cambio, sí lo ha hecho, y su versión es tajante: ‘Okta es segura y no tenemos evidencia de que nuestros datos o sistemas hayan sido comprometidos’. Traducción libre del oficio: el fallo está del lado del cliente, no de la infraestructura del proveedor. Una distinción que en ciberinteligencia importa poco cuando el resultado final es idéntico.
Qué hay dentro del volcado y por qué incomoda en Washington
Emma Best, fundadora de DDoSecrets, describió el conjunto con una frase que conviene leer despacio: ‘La filtración es extraordinaria pero engañosa en su simplicidad, porque identifica a los responsables de supervisar operaciones encubiertas y clandestinas, la caza gubernamental de filtradores y la fallida investigación BlueLeaks, junto con personal clave de los programas de expulsión y deportación’. Ahí está la clave. No es un listado de nóminas: es un mapa de responsabilidades.
La hacker que ha construido el buscador del volcado lo dijo sin rodeos: ‘Este conjunto de datos es masivo tanto en tamaño como en impacto. Proporciona una mirada sin precedentes a la estructura organizativa del DHS, señalando quién hace qué en múltiples agencias, incluida ICE’. crimew sabe de lo que habla: está procesada en Estados Unidos por filtraciones anteriores y ha convertido la fabricación de herramientas de consulta en su especialidad.
CyberScoop pudo verificar que en la base figuran numerosos empleados actuales de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), además de antiguos cargos de dirección que dejaron el organismo hace años. Los registros se remontan a ejercicios previos, con nombres de grupos internos que aluden a la planificación de la COVID-19 y a cumbres internas de 2023. Material antiguo mezclado con material sensible reciente, y esa mezcla complica cualquier evaluación seria del daño.
Una lista de nombres y extensiones parece inocua hasta que uno de esos nombres trabaja con identidad falsa en el extranjero.
La motivación confesada es política y nadie la esconde. Un portavoz del colectivo lo explicó así: ‘El 17 de julio, Markwayne Mullin dijo que iba a subir la temperatura. Esto es lo que pasa con ICE cuando lo haces’. La referencia es al secretario de Seguridad Nacional y a su compromiso de intensificar las operaciones del Servicio de Inmigración y Control de Aduanas. La filtración no es un hallazgo casual: es una respuesta. Hablamos de hacktivismo con agenda, la categoría más difícil de disuadir porque no persigue un rescate.
El vector: el inicio de sesión único que Okta asegura que no cayó
El portavoz de Department of Peace sitúa el origen en un servicio de inicio de sesión único de Okta desplegado en el DHS. Ese tipo de infraestructura concentra en un solo punto la autenticación de decenas de aplicaciones internas; si se compromete, el atacante no necesita veinte contraseñas, le basta una sesión válida y unos permisos mal acotados. Es el patrón que vimos en SolarWinds y en la mitad de los incidentes de cadena de suministro de identidad de los últimos cinco años: no se rompe la puerta, se copia la llave.
Las fechas encajan con ese relato. El DHS acumula intrusiones documentadas desde 2014, cuando un incidente pudo exponer datos de 390.000 empleados, aspirantes y contratistas; en 2018 notificó una brecha que afectó a casi 250.000 personas. A comienzos de este año, la firma GitGuardian localizó un repositorio público en GitHub con credenciales de cuentas privilegiadas de AWS GovCloud y de sistemas internos de CISA que se remontaban a noviembre de 2025. Un historial de higiene de identidad deficiente, por decirlo con terminología del oficio.
Nada de esto es nuevo. Solo es más grande.
Hay un detalle que revela el estilo de la operación: hasta el jueves por la mañana el sitio que alojaba la base consultable estaba caído. Se publicó, se midió el impacto y se retiró el servicio. Es una coreografía habitual en el hacktivismo que busca titular y no persistencia, y contrasta con la paciencia de un APT estatal, que prefiere el silencio durante meses antes que el ruido en un solo día.
Sobre el uso legítimo del material, Ryan Shapiro, director ejecutivo de Property of the People, apuntó una consecuencia que suele pasarse por alto: ‘Las direcciones de correo y los números de teléfono son herramientas indispensables para los investigadores de FOIA, a menudo marcan la diferencia entre una solicitud vaga que se bloquea y una que obtiene resultados’. Dicho de otro modo: la misma base que expone a un agente sirve para auditar al gobierno que lo emplea.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es una filtración con acceso a un proveedor de identidad, no un ransomware ni un sabotaje. Department of Peace no cifró nada ni pidió rescate: entró, copió y publicó. Técnicamente estamos ante un abuso de confianza en la capa de autenticación, ese punto donde las administraciones modernas han concentrado su perímetro sin reforzar en la misma proporción la monitorización de sesiones privilegiadas.
En el reparto de papeles, el atacante es un colectivo hacktivista sin patrocinio estatal conocido; la víctima es el DHS en su conjunto, con CISA e ICE como organismos más señalados; y entre los terceros interesados hay que colocar a Okta, que se juega su reputación comercial, a DDoSecrets como difusor y, cómo no, a los servicios de contrainteligencia estadounidenses que ahora deben reevaluar el riesgo real de sus propias fuentes humanas. Estimo un nivel de clasificación Reservado para el grueso del volcado, con vetas de Confidencial en todo lo relativo a operaciones encubiertas y programas de expulsión.
El precedente que hay que mirar no es Snowden, sino BlueLeaks. En 2020, DDoSecrets publicó cientos de gigabytes procedentes de los centros de fusión policial; aquello no tumbó ninguna operación visible, pero durante meses los analistas tuvieron que reconstruir qué nombres estaban quemados. Con 41.000 registros la escala es menor, aunque el objeto es más delicado: aquí no hay informes de inteligencia, hay personas identificables con su función.
Y llega la parte que exige prudencia. Okta niega el compromiso, Department of Peace no ha publicado indicadores técnicos ni un informe forense, y el DHS no ha confirmado nada. La atribución al proveedor de identidad es hoy solo una declaración de parte. Quien le escriba lo contrario le está vendiendo certezas que no existen.
Cuarenta y un mil nombres no se recogen por accidente.
Qué mira España y qué lección debería sacar el CNI
La concentración de la autenticación en proveedores externos no es un problema americano. La Administración General del Estado lleva años migrando servicios a identidades federadas y a plataformas en nube, y el CCN-CERT lleva otros tantos advirtiendo, de que el eslabón débil ya no está en el cortafuegos. Lo escribí en El quinto elemento y lo mantengo: el próximo 11S empezará con un clic.
Desde la lógica del oficio, la filtración tiene un valor indirecto que el CNI conoce bien. Un listado de personal con su función, su correo y su extensión no permite entrar en ningún sistema, pero habilita lo que en HUMINT se llama perfilado de objetivos: identificar quién supervisa qué, quién tiene acceso a los programas más sensibles y a quién merece la pena aproximar. Si usted dirige un servicio de seguridad, sabe que la contrainteligencia estadounidense va a revisar expedientes durante meses, y que eso es coste operativo puro.
Hay un segundo efecto, más silencioso. Cuando un empleado de un organismo de seguridad ve su nombre en una web de filtraciones, cambia de hábitos: cierra perfiles, abandona determinadas comunicaciones, reduce su huella. Los servicios lo llaman pérdida de confianza interna, y no se arregla con un parche.
La identidad es el nuevo perímetro, y ese perímetro se compra llave en mano al mejor postor.
Permítame una previsión modesta. El siguiente capítulo no será una nueva filtración, sino la auditoría: qué cuentas privilegiadas siguen activas, qué permisos se concedieron por comodidad y cuántos de esos 41.000 registros seguían teniendo validez el miércoles por la mañana. Ahí se mide de verdad la gravedad. Lo demás, por ahora, es ruido con nombres propios.
