Filtración de datos del Pentágono: 2.8 millones afectados

Filtración de datos del Pentágono: el Defense Manpower Data Center expuso información de 2.76 millones de personas vivas y 294,000 fallecidas. Además, los expedientes incluían números de seguro social sin cifrar. De hecho, el acceso no autorizado duró cerca de nueve meses. En consecuencia, dos agencias federales acumulan filtraciones graves en apenas un mes.

Filtración de datos del Pentágono: nueve meses de acceso

El acceso comenzó en octubre de 2025 y se mantuvo hasta mediados de julio de 2026. Por su parte, el DMDC lo descubrió el 16 de julio y envió las cartas de notificación el 18 de septiembre. Es decir, los afectados se enteraron dos meses después del hallazgo.

Además, la filtración de datos del Pentágono se originó en una vulnerabilidad de un sistema de intercambio de archivos del DMDC, cuyo producto no se ha revelado. Los registros contenían nombres, fechas de nacimiento, datos de contacto, información demográfica y especialidades militares. No obstante, el Pentágono afirmó que no tiene indicios de uso indebido de la información.

El FBI también: datos médicos y psiquiátricos robados

Por otro lado, el FBI declaró internamente un incidente de ciberseguridad el 26 de septiembre. Los atacantes entraron por una vulnerabilidad en un servidor Oracle PeopleSoft del portal FBIJobs.gov, en uso desde 2017. Hasta ahora no hay una cifra oficial de afectados.

En este sentido, lo robado va mucho más allá de los datos de contacto. La filtración incluye títulos de puesto, registros médicos con muestras de sangre y orina, e informes psiquiátricos. ShinyHunters reclamó la autoría y no pidió dinero. En cambio, exigió la corrección de un informe previo del FBI sobre sus actividades.

Qué enseña la filtración de datos del Pentágono

Por lo tanto, el patrón vale más que cada caso por separado. Nueve meses de acceso sin detección y datos personales sin cifrar en un servidor son fallas de higiene básica, no obra de un atacante sofisticado. Puedes ver más artículos sobre seguridad en nuestro blog.

Asimismo, los tres puntos débiles se repiten en cualquier organización:

• Cifrado en reposo: los datos sensibles no deberían vivir en claro en un servidor de archivos.
• Inventario de terceros: portales y sistemas como PeopleSoft necesitan parcheo y dueño asignado.
• Tiempo de detección: nueve meses de acceso silencioso indican que faltaba monitoreo de accesos anómalos.

Finalmente, la filtración de datos del Pentágono recuerda algo incómodo: un número de seguro social no se puede rotar como una contraseña.

Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.

Puedes encontrarnos en Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.

Fuentes: SecurityWeek, TechCrunch, Security Affairs.