Nueve meses. Ese es el dato que me ha dejado sentado.
Alguien estuvo dentro de uno de los sistemas más sensibles del Pentágono (el del Defense Manpower Data Center, el organismo que verifica la identidad de cualquiera que lleve una tarjeta del Departamento de Defensa) desde octubre de 2025 hasta julio de 2026. Nueve meses entrando y saliendo de un servidor de intercambio de ficheros. Y nadie lo vio. Ni una alarma en nueve meses.
Conviene dimensionarlo. El DMDC guarda los registros de más de 60 millones de personas (militares, veteranos, empleados civiles, contratistas y sus familias). De ese universo, la brecha tocó a 2,76 millones de vivos y a 294.000 fallecidos. Detrás de cada cifra hay alguien que nunca eligió estar ahí. A un militar nadie le pidió permiso: el formulario era obligatorio. La confianza venía incluida en el trámite.
No hubo película. Ni zero-day, ni exploit exótico, ni nombre en clave. Una vulnerabilidad en un sistema de intercambio de ficheros, un puñado de «usuarios no autorizados» (literal, es lo que dice el aviso del DMDC) y un servidor cuyo tráfico, sencillamente, nadie estaba leyendo.
La intrusión fue silenciosa, y eso asusta más que cualquier sofisticación: lo sofisticado se combate con dinero y talento; lo silencioso solo se combate mirando. Se descubrió por casualidad el 16 de julio de 2026, cuando alguien se topó con la vulnerabilidad. Ninguna alarma saltó mientras se copiaban millones de registros.
Nueve meses de acceso silencioso y todavía no sabemos quién. Ningún grupo conocido ha reivindicado el ataque. Eso importa: quien no firma un golpe suele ser quien no necesita publicidad. Estado, crimen organizado o alguien con acceso legítimo que se pasó de la raya; hoy sigue siendo una incógnita.
Entre los datos expuestos había números de la Seguridad Social, nombres, fechas de nacimiento, contactos y especialidades militares. Y estaban, según el propio aviso, sin cifrar.
Ahí está todo. Protegemos el perímetro (la puerta del edificio, el cortafuegos, la VPN, el control de acceso) y damos por hecho que, una vez dentro, las cosas están a salvo. Pero un servidor con millones de registros en claro es una caja abierta dentro de un edificio bien vigilado. Si alguien cruza la puerta, solo tiene que copiar.
Es la diferencia entre controlar quién entra y controlar qué puede hacer con lo que ya está dentro. Lo primero lo entendemos todos; lo segundo casi nadie lo presupuesta. Y mientras tanto, nadie echa de menos la alarma que no suena cuando se copian datos.
Hay palabras que en este oficio significan dinero y que casi nunca aparecen en los presupuestos: cifrado en reposo, registro de accesos, alertas de exfiltración, retención de logs. No son tan vistosas como un SOC de guardia 24/7, pero deciden si una brecha se convierte en catástrofe o en un susto. La pregunta que casi nadie hace es esta: si entran, ¿qué se llevan y cuánto tardamos en notarlo? Aquí la respuesta es incómoda: se llevaron todo lo que había y tardamos nueve meses.
¿Por qué se descuida esto siempre?
Porque vigilar el dato es aburrido. No sale en los presupuestos con foto, no gana elecciones, no impresiona en una rueda de prensa. El dinero se va en capacidad ofensiva y en disuasión, que es lo vistoso; la monitorización constante es invisible hasta el día en que falla. Y cuando falla, falla callando: sin estruendo, sin pantalla en rojo, sin titular. Nueve meses de silencio.
Esta es mi opinión y la mantengo: el nudo aquí es de prioridades. Nadie presume de haber vigilado bien; se presume de haber comprado lo último. Y lo que no se presume, no se financia. La ciberseguridad que de verdad importa es aburrida, y por eso casi nadie la financia.
El que compra lo vistoso puede enseñar la factura y el contrato; el que protege el dato solo puede enseñar lo que no pasó, y eso no se cuelga de una pared. En seguridad, el éxito es invisible: el día que lo haces bien, no ocurre nada. Por eso el presupuesto acaba casi siempre en los cañones, y las cámaras de vigilancia se quedan para el final.
Si esto ocurre en la institución con más presupuesto de ciberdefensa del planeta, en un sistema con sesenta millones de registros, ¿cuántas puertas parecidas siguen abiertas donde hay menos recursos y muchísimo menos escrutinio? No hace falta mirar lejos para responder. Cada cual que haga su propia lista.
En 2006, cuando trabajaba en ciberseguridad, securizábamos una máquina Solaris en la DMZ del centro de datos de una de las empresas más grandes de España. Era un servidor Oracle expuesto, que ya de por sí es mala señal. Y estaba expuesto de la peor manera: por SSH, en el puerto 22, con usuario «oracle» y contraseña «oracle». La empresa había gastado una morterada en cortafuegos Check Point, en formación, en certificaciones y en hierro de primera. Y lo peor venía después: nadie sabía que ese servidor existía. En sus inventarios solo había una IP. Nos salvó la suerte, y solo la suerte: el que entró era un aprendiz que no tenía ni idea de qué era Solaris, y el exploit que intentó lanzar estaba hecho para Linux.
Casi veinte años después, la historia se repite igual: un perímetro caro por un lado y, por el otro, una puerta abierta que ni aparecía en la lista. ¿Nos da miedo la inteligencia artificial? A mí no. Lo que hace falta es un poco de inteligencia en un mundo de necios.
El Pentágono, por cierto, no ha respondido a las preguntas que más importan: quién accedió, si el ataque fue intencionado, si los afectados pertenecen a un grupo concreto y, sobre todo, por qué había información personal en un servidor sin cifrar. Cuando las respuestas fáciles llegan rápido y las difíciles se aplazan, la respuesta difícil suele ser la que explica todo.
Y hay un detalle que conviene dejar respirar, porque dice más que todas las cifras juntas. La filtración distingue entre vivos y muertos: 294.000 fallecidos. Para un servicio de inteligencia no valen lo mismo. Los vivos son objetivos. Los muertos son cobertura: la identidad de un fallecido reutilizada supera controles automáticos durante años, porque nadie espera que un muerto pida un crédito. Siguen trabajando para alguien sin saberlo.
Piensa en lo que eso significa para los vivos. Un nombre, una fecha de nacimiento y un número de la Seguridad Social bastan para abrir una cuenta, pedir un préstamo o pasar una verificación automática. Los controles que deberían detenerlo esperan que el dueño de esa identidad esté ahí para reclamar. La brecha entrega llaves que no se pueden cambiar: a diferencia de una contraseña, el número de la Seguridad Social es para siempre.
¿Y cuál fue la respuesta oficial a exponer a millones de personas? Doce meses de monitorización de crédito, contratados con IDX para los afectados.
Te fallamos, y ahora te toca a ti vigilar si alguien usa tu identidad. El problema se traslada a la víctima: el que confió acaba haciendo el trabajo que la institución no hizo. Le damos un año de vigilancia y, de paso, le pedimos que sea él quien esté atento.
Se promete reforzar el perímetro, contratar más ciberdefensa y aprender la lección. La lección de verdad (que el dato y su vigilancia son el activo, y el edificio solo el envoltorio) sigue esperando turno. Mientras tanto, los que estaban dentro del sistema por obligación seguirán pagando la factura de una prioridad que nunca fue la suya.
Nueve meses mirando a otro lado… y ahora doce meses mirándote a ti.
Una versión de este texto vive también en mi blog personal: sancholerena.com.