Más de 41,000 empleados y contratistas del Departamento de Seguridad Nacional de Estados Unidos (DHS) quedaron expuestos en una filtración publicada este miércoles.
El archivo, bautizado Icepick, incluye nombres, correos, teléfonos y los grupos de permisos que muestran qué sistemas puede usar cada persona. Okta, el proveedor de identidad señalado como origen, asegura que sus sistemas no fueron comprometidos.
La organización sin fines de lucro Distributed Denial of Secrets (DDoSecrets) publicó el archivo el 28 de octubre. Su ficha indica que pesa 166.7 MB y que proviene de una base interna del servicio de inicio de sesión único de Okta que usa el DHS.
El grupo hacktivista Department of Peace dio una copia a DDoSecrets y a la investigadora maia arson crimew, que creó un buscador público.
Qué contiene la filtración de DHS
El lote cubre a más de 41,000 personas del DHS y siete agencias, entre ellas ICE, CBP, USCIS y CISA. CBP concentra cerca de 21,000 registros; ICE ronda los 10,000; USCIS unos 6,200; y CISA cerca de 1,000. El desglose apareció en Wired y TechCrunch. Además de contactos y oficinas, incluye más de 55,000 grupos de permisos, con referencias a Palantir Falcon, PenLink, Signal, Mobile Fortify y herramientas de IA como ChatGPT y Grok. También hay grupos vinculados a interceptación telefónica y operaciones encubiertas.
Okta niega el breach; el origen sigue sin confirmar
Okta fue tajante: “Okta is secure, and we have no evidence our data or systems were compromised”, dijo un portavoz a Reuters, Wired y TechCrunch.
DDoSecrets sostiene que la base proviene del sistema Okta del DHS, pero Reuters no pudo corroborarlo y TechCrunch solo verificó una parte del lote. Se desconoce si el DHS sabía del robo o si la falla sigue abierta.
Los registros fueron actualizados el 19 de agosto y los timestamps sitúan la exfiltración a mediados de ese mes.
Los permisos son el verdadero mapa
La lección va más allá del caso estadounidense. El archivo no contiene contraseñas ni tokens, pero sí la estructura de accesos: quién pertenece a qué grupo, qué herramientas puede abrir y de quién depende. Para un atacante, eso es materia prima para phishing dirigido, movimiento lateral e ingeniería social.
Un directorio de identidades dice más de una organización que un organigrama. En el lote aparecen 39 empleados en grupos de operaciones encubiertas certificadas y más de 700 cuentas asociadas a Signal.
Qué revisar en cualquier empresa
Si tu organización usa Okta, Entra ID o Google Workspace, hay cuatro tareas concretas. Primero, inventariar qué datos viajan al proveedor de identidad y quién puede exportarlos. Segundo, limpiar grupos heredados: los permisos acumulados durante años son los que más ruido filtran. Tercero, aplicar mínimo privilegio a integraciones y cuentas de servicio.
Cuarto, monitorear accesos anómalos y exportaciones masivas del directorio, no solo accesos fallidos. La IA ya está acortando el tiempo entre una falla y su explotación, así que la ventana para detectar movimientos raros también se reduce.
La tercera filtración federal en un mes
El caso llega tras la filtración de datos de agentes del FBI atribuida a ShinyHunters en septiembre y la brecha del Departamento de Defensa que expuso datos de millones de militares.
Department of Peace ya había reivindicado un hackeo al DHS en marzo, cuando publicó contratos con más de 6,000 empresas. Se suma a otra racha de infraestructura crítica: CISA confirmó ataques contra servidores PHP sin parchear días antes.
El DHS no comentó. Mientras se investiga, la pregunta para cualquier equipo de TI es incómoda: si mañana se publicara tu directorio de identidades, ¿cuánto revelaría sobre cómo funciona tu empresa?
Más en: Ciberseguridad, Tecnología
