Hackers habrían robado miles de registros confidenciales de personal del FBI

La vulneración, de ser confirmada, sería la más reciente de una serie de fallas de ciberseguridad al interior de la agencia, que ya investiga el incidente.

Un prolífico grupo criminal de hackers dijo el martes que robó un gran volumen de información confidencial de personal perteneciente a miles de funcionarios del FBI en lo que sería una asombrosa vulneración de datos privados para la principal agencia del orden público de Estados Unidos.

Los hackers, que se hacen llamar ShinyHunters, dijeron que los registros fueron robados de un portal de empleo en línea de la agencia e incluían nombres de agentes actuales y anteriores, así como de postulantes y sus correspondientes direcciones particulares, números de teléfono, nombres de cónyuges, cierta información médica y otros datos. El grupo no parece haber filtrado aún ninguno de los datos de manera pública.

"Hemos vulnerado al FBI", dijo el grupo en un mensaje publicado en línea que estaba dirigido al director del FBI, Kash Patel, y a Brett Leatherman, quien supervisa la división de ciberseguridad de la agencia. "Tenemos datos muy confidenciales de casi TODOS los agentes del FBI y de los individuos que presentaron una solicitud de empleo en el FBI".

En su mensaje, ShinyHunters dijo que había atacado al FBI como represalia por un aviso público que la agencia emitió en la primavera en el que advertía sobre las tácticas del grupo. El grupo exigió que el FBI "corrija o simplemente ELIMINE" el aviso, el cual decía que se sabía que ShinyHunters acosaba a víctimas y familiares con maniobras amenazantes o coercitivas, y que lo hiciera en el plazo de una semana o se arriesgara a sufrir más consecuencias.

Una portavoz del FBI reconoció la vulneración, y dijo que la agencia estaba al tanto de las afirmaciones y que estaba investigando. En un comunicado, la agencia dijo: "Si bien el punto de la vulneración aún no se ha determinado --ya sea un tercero o la red del FBI--, estamos investigando este asunto de manera activa y agresiva, y trabajando en estrecha colaboración con aquellos proveedores externos que respaldan a FBIJobs.gov para mitigar cualquier y todo riesgo".

El sitio web de empleos permanecía inaccesible el miércoles por la mañana después de que su página de inicio mostrara un día antes un cartel que decía: "ESTE SITIO HA SIDO TOMADO POR SHINYHUNTERS".

En un intercambio con The New York Times, ShinyHunters describió los registros de personal que tenía, y sugirió que se trataba de información privada de decenas de miles de personas. La noticia del aparente hackeo fue reportada primero por 404 Media, una publicación en línea de noticias sobre ciberseguridad y tecnología.

Exfuncionarios del FBI y expertos en ciberseguridad que rastrean grupos criminales dijeron que la vulneración parecía auténtica y que equivalía a un error de seguridad potencialmente devastador y a un peligro de contrainteligencia para la agencia. Entre otras preocupaciones, la información de personal de los funcionarios del FBI, de ser publicada en la red oscura, podría ser adquirida por agencias de inteligencia extranjeras en China, Rusia u otros lugares y usada como arma para operaciones de espionaje.

"De ser cierta, esta vulneración de datos es un recordatorio de que nadie es inmune a las ciberamenazas y, por desgracia, plantea graves riesgos para la seguridad pública y la contrainteligencia", dijo Sumon Dantiki, socio de la firma de abogados Baker McKenzie y exfuncionario de alto rango del FBI y del Departamento de Justicia que trabajó en temas de ciberseguridad.

Una preocupación más tangible es que los datos también podrían ser una hoja de ruta para que los criminales violentos busquen represalias contra los agentes del FBI que los pusieron tras las rejas, dijo Cynthia Kaiser, una ex alta funcionaria del FBI que supervisó importantes ciberinvestigaciones. Los agentes del FBI firman con su nombre los documentos judiciales presentados contra sospechosos criminales, pero por lo general están capacitados para evitar que información personal confidencial, como direcciones particulares o vínculos familiares, surja fácilmente en línea.

"Lo que más me preocupa es cómo cualquier criminal con algún resentimiento podría usar estos datos para atacar y dañar físicamente no solo a los agentes del FBI que los investigaron, sino también a las familias de esos agentes", dijo Kaiser.

ShinyHunters es un conocido colectivo de hackers que ha estado activo durante años y se ha atribuido una serie de importantes vulneraciones que acapararon los titulares, aunque los investigadores de seguridad dicen que el grupo a veces ha exagerado o tergiversado sus acciones. Sin embargo, se atribuye de manera creíble la responsabilidad de varios hackeos notables.

En mayo, dijo que había vulnerado un sistema de aprendizaje en línea llamado Canvas que es usado por miles de escuelas y universidades en todo el mundo, lo que dio lugar al aviso del FBI en la primavera. El grupo también dijo que estuvo detrás de los ataques contra Ticketmaster en 2024, que según los hackers, habían vulnerado la información de usuario de más de 500 millones de clientes.

La aparente vulneración del FBI recordó el vasto robo hace más de una década de unos 20 millones de registros de empleados y contratistas del gobierno de la Oficina de Administración de Personal (OPM, por su sigla en inglés). Ese robo, del cual el gobierno de Barack Obama culpó al gobierno chino, sigue siendo considerado como una de las peores fallas de ciberseguridad de las que se tiene registro en Estados Unidos. Como resultado, las agencias gubernamentales se esforzaron por proteger mejor y desagregar los datos confidenciales en un intento de evitar futuros robos de bases de datos con un nivel de detalle tan grande.

Dada la debacle de la OPM, exfuncionarios del FBI dijeron que estaban atónitos al enterarse de que información privada tan valiosa --y voluminosa-- sobre el personal de la agencia parecía estar almacenada en una base de datos en línea vinculada a un portal de empleo.

La vulneración de ShinyHunters sería solo la más reciente de una serie reciente de fallas de ciberseguridad para el FBI. A principios de este año, la agencia identificó lo que creía que eran hackers chinos dentro de una base de datos que mantiene sobre sus órdenes de vigilancia nacional. Ese hallazgo fue especialmente alarmante porque Pekín parecía estar aprovechando una infiltración catastrófica en la red interna del FBI usada para procesar y mantener escuchas telefónicas nacionales a sospechosos criminales, la cual fue parte de una campaña de espionaje de gran alcance que los funcionarios revelaron por primera vez en 2024 y que se infiltró en la infraestructura de telecomunicaciones de Estados Unidos.

Un grupo hacktivista proiraní asociado con el Ministerio de Inteligencia y Seguridad del país también hackeó y filtró los correos electrónicos personales de Patel en marzo.

En el episodio más reciente, ShinyHunters dijo que había usado como arma una falla informática de día cero (zero-day), o no descubierta previamente, dentro del software Oracle PeopleSoft, una aplicación que las empresas usan para la gestión financiera y de recursos humanos. El grupo se negó a responder preguntas específicas sobre la aparente falla, y dijo en un correo electrónico que "tenemos la intención de utilizar el día cero para las operaciones normales de nuestros negocios". Oracle no respondió a una solicitud de comentarios.

No estaba claro qué pretendía hacer ShinyHunters, que dijo que se había llevado de dos a tres terabytes de datos en total, si el FBI no se retractaba de su aviso sobre el grupo. Flashpoint, una empresa de ciberseguridad en Estados Unidos, dijo que esperaba que los hackers probablemente siguieran el mismo modus operandi que emplean contra sus víctimas corporativas y pronto filtraran en internet los datos robados.

"No podemos comentar sobre qué haremos si el FBI no cumple con nuestra solicitud", dijo ShinyHunters en su correo electrónico al Times. "Reiteramos que no estamos extorsionando al FBI y que esto NO tiene motivaciones financieras".

"Nuestra intención, objetivo y motivo es únicamente dejar las cosas claras", añadieron los hackers.

Tawnell D. Hobbs colaboró con la reportería.

Dustin Volz escribe sobre ciberseguridad e inteligencia para el Times. Radica en Washington.

Tawnell D. Hobbs colaboró con la reportería.