La fuga masiva de datos del DHS a través de Okta expone agentes encubiertos de la ICE y operaciones sensibles

Una operación de hacktivismo sin precedentes el miércoles (28) reveló los registros personales de más de 41.000 trabajadores del Departamento de Seguridad Interior (DHS) de Estados Unidos — aproximadamente una quinta parte de toda la plantilla del departamento — a través de una vulnerabilidad en el sistema de acceso único (SSO) de Okta. El conjunto de datos, bautizado como "Icepick" por la organización de transparencia DDoSecrets, incluye nombres, direcciones de trabajo, números de teléfono, títulos de empleo y permisos de sistemas internos, con detalles que llegan a exponer a agentes de la ICE operando bajo cobertura.

El acceso a los registros fue obtenido por un grupo que se denomina "Department of Peace" y que distribuyó el material a DDoSecrets y también a un periodista estadounidense, Ryan Ottignon, y a un hacker suizo conocido como "maia arson crimew". Según el grupo, los datos fueron compilados con base en información adquirida mediante un ataque al sistema de acceso único de Okta, el mismo servicio de gestión de identidad utilizado por millones de trabajadores federales para acceder a sus cuentas corporativas.

Qué fue expuesto

Los registros comprometidos abarcan siete agencias componentes del DHS, incluyendo:

- 21.000 registros de empleados de la Agencia de Protección Fronteriza de EE. UU. (CBP), que representan más de la mitad del total - 7.000 registros del personal de la Agencia de Imigración y Fiscalización (ICE) y su división de Investigaciones de Seguridad Interna (HSI) - Casi 1.000 registros de la Agencia de Seguridad Cibernética e Infraestructura (CISA) - Datos adicionales de la sede del DHS y otras unidades

Más allá de los datos básicos de contacto —nombres completos, títulos laborales, direcciones de trabajo, correos electrónicos, teléfonos y ubicaciones de oficinas—, la filtración incluye información más sensible sobre permisos de software interno, grupos de acceso a herramientas de vigilancia, sistemas de rastreo de ubicación móvil y software de reconocimiento facial. Nombres de operaciones encubiertas y detalles técnicos utilizados en esas operaciones, incluidas tecnologías proporcionadas por empresas como Cellebrite y Palantir, también fueron revelados.

Los registros fueron actualizados por última vez el 19 de agosto de 2026, lo que significa que la exposición cubre datos relativamente recientes de la fuerza laboral del departamento.

El vector de ataque: Okta bajo presión

Okta, líder mundial en gestión de identidad y acceso, afirmó en un comunicado que su infraestructura central permanece segura y que no hay evidencia de compromiso del sistema. La empresa ya ha enfrentado múltiples incidentes de seguridad en años recientes —incluida la famosa brecha de 2022 causada por el grupo Lapsus$ y un incidente más reciente vinculado a credenciales de empleados guardadas en cuentas personales de Google—, lo que plantea dudas sobre la solidez de su modelo de seguridad frente a ataques dirigidos al sector de identidad.

El ataque al DHS ocurre en un contexto preocupante: Okta continúa enfrentando las consecuencias de las brechas por credenciales robadas. A finales de octubre de 2023, la empresa descubrió que un empleado había guardado credenciales de servicio en su cuenta personal de Google, permitiendo que un atacante accediera a archivos de 134 clientes. Más recientemente, en octubre de 2026, Cloudflare reveló haber sido comprometida usando tokens y credenciales robados durante un incidente anterior de Okta.

Reacciones oficiales

El DHS emitió un comunicado confirmando que es consciente del incidente y de que las medidas protectoras están activas. Sin embargo, el departamento no respondió a las solicitudes de comentario de la prensa, lo que alimenta especulaciones sobre la verdadera magnitud del daño y sobre el nivel de preparación para contener la exposición de los agentes.

El FBI remitió las consultas al DHS, mientras que el Departamento de Justicia no se pronunció. La ausencia de respuesta oficial contrasta con la gravedad de los datos expuestos —incluidos los nombres de agentes operando bajo cobertura en programas de deportación intensificada, que podrían estar directamente en riesgo de represalias.

Qué significa la exposición

Para los empleados expuestos, la orientación es clara: monitorizar cuentas, cambiar credenciales y mantenerse alerta ante acoso o persecución dirigida. Los agentes que trabajaron en operaciones sensibles de frontera y deportación, en particular, enfrentan riesgos que van más allá de la molestia del spam o phishing —pueden estar literalmente en peligro físico.

El incidente refuerza una tensión creciente en el sector de la ciberseguridad: a medida que los gobiernos y las empresas migran hacia soluciones de identidad centralizada como el SSO, el valor de un único punto de fallo aumenta exponencialmente. Okta, en sí misma, no es el problema —es el hecho de que, cuando el acceso a la plataforma se ve comprometido, las puertas a miles de organizaciones diferentes se abren simultáneamente.

La pregunta que queda: en un mundo donde la identidad digital se ha convertido en la nueva frontera de seguridad, ¿cuántas capas de protección son realmente suficientes antes de que se rompa el primer eslabón débil?

Fuentes: WIRED, NPR, The Verge

✓ Fuentes independientes cruzadas y verificadas antes de la publicación