FBI admite que hackers robaron datos médicos y psiquiátricos de sus agentes

El FBI reconoció ante sus propios empleados que un ciberataque contra el portal de postulación a empleos de la agencia expuso información personal de agentes, incluidos números de seguro social, y datos médicos y psiquiátricos, según una notificación interna citada por el periodista Ken Dilanian y confirmada por TechCrunch.

Es el primer reconocimiento formal de la agencia sobre el alcance del robo, después de que la semana pasada solo admitiera que un grupo de hackers reclamaba la autoría de un ataque cuyo resultado era, en sus palabras, “todavía indeterminado”.

Qué encontraron los hackers en los archivos del FBI

El grupo conocido como ShinyHunters le dijo a TechCrunch que posee “datos de casi todo el FBI”, además de información “sustancial” sobre postulantes que aplicaron a través del portal FBIJobs.gov.

Los atacantes ingresaron al explotar una vulnerabilidad en un servidor Oracle PeopleSoft, el sistema que aloja los registros de recursos humanos de agentes y de personas que se postularon para trabajar en la agencia.

BBC y Reuters confirmaron después que parte de los datos robados incluye información médica, como registros de análisis de sangre y orina, y reportes psiquiátricos de empleados del FBI.

Los hackers afirmaron que no buscan un rescate económico, sino que exigen en cambio que la agencia corrija un informe previo que, sostienen, tergiversa sus actividades.

Un problema de contrainteligencia

Justin Sherman, experto en seguridad nacional, calificó la filtración como un “desastre de contrainteligencia” para el gobierno de Estados Unidos en un artículo publicado en el sitio especializado Lawfare.

Sherman advirtió que el robo de datos podría exponer a miles de empleados del FBI a perfilamiento, ataques de phishing y intentos de reclutamiento por parte de servicios de inteligencia extranjeros.

La ley federal exige notificar al Congreso cuando una intrusión alcanza la categoría de “incidente mayor”, algo que ocurre si el robo de datos personales puede causar “un daño demostrable” a la seguridad nacional del país.

Todavía no está claro si el FBI ya cumplió con ese trámite ante los legisladores que supervisan a la agencia. De confirmarse, sería el segundo aviso de este tipo que el FBI envía al Congreso en lo que va del año, después de que en abril un grupo de hackers, sospechados de operar desde China, vulnerara un sistema utilizado para gestionar escuchas telefónicas y órdenes de vigilancia.

Un vocero del FBI no respondió al pedido de comentarios de TechCrunch, y una vocera de la Casa Blanca tampoco contestó una consulta sobre si la agencia había declarado formalmente un “incidente mayor”.

El sitio FBIJobs.gov, la principal vía para postularse a un puesto en la agencia desde 2017 según ABC News, permanecía fuera de servicio al momento de la publicación de la nota de TechCrunch.

FBI advierte sobre una nueva ciberestafa con IA

El FBI emitió una alerta sobre Kali365, una plataforma de phishing que utiliza inteligencia artificial para secuestrar cuentas de Microsoft 365. A diferencia de los métodos tradicionales, esta amenaza no roba contraseñas ni intercepta códigos de autenticación multifactor: apunta directamente a los tokens OAuth, los fragmentos digitales que mantienen una sesión activa sin necesidad de reingresar credenciales.

El sistema opera bajo el modelo de “phishing as a service”, identificado en abril de este año, lo que permite que delincuentes con escasos conocimientos técnicos ejecuten ataques complejos.

El engaño comienza con un correo que suplanta plataformas de productividad y pide a la víctima verificar un código de dispositivo en una página legítima de Microsoft. Al hacerlo, en realidad autoriza el acceso del atacante desde otro dispositivo, que roba los tokens y mantiene el control incluso si la víctima cambia su contraseña.

La inteligencia artificial automatiza señuelos, campañas y paneles de monitoreo en tiempo real. Ante esto, el FBI recomendó desconfiar de correos que soliciten validar códigos, revisar sesiones activas y limitar permisos en aplicaciones vinculadas a las cuentas corporativas.