Cuando estudiar para el examen se convierte en una filtración de seguridad nacional
Hay errores de ciberseguridad que te hacen pensar en ataques sofisticados, exploits de día cero o grupos de hackers financiados por estados. Y luego están los de este tipo: alguien crea un mazo de tarjetas de estudio en Quizlet, lo deja en público, y sin quererlo expone información altamente sensible sobre instalaciones del Servicio de Aduanas y Protección Fronteriza de Estados Unidos (CBP, por sus siglas en inglés).
Sí, Quizlet. La misma aplicación que usaste para memorizar los verbos irregulares o las capitales de Europa.
Lo que pasó, sin rodeos
En febrero de 2025, un usuario de Quizlet publicó un conjunto de flashcards titulado «USBP Review» —revisión del Servicio de Patrulla Fronteriza de EE. UU.— que estaba accesible para cualquier persona en internet. El problema no era que alguien estudiara procedimientos internos, sino qué información concreta contenían esas tarjetas.
Según la investigación publicada por WIRED, el mazo incluía:
- Códigos numéricos de puertas y accesos en instalaciones del CBP cerca de Kingsville, Texas. Tarjetas del tipo «¿Código de las puertas del checkpoint?» con la combinación de 4 dígitos como respuesta.
- Nombres y abreviaturas de 11 torres de vigilancia del área, junto a sus zonas de responsabilidad compartida.
- El área de responsabilidad operativa de la zona de Kingsville: 1.932 millas cuadradas, con los 6 condados que la delimitan.
- El sistema interno de cuadrículas y zonas que utiliza la agencia para organizarse operativamente, incluyendo una nota sobre una cuadrícula «que no existe» debido a la estructura de las carreteras locales.
- Información sobre el sistema E3 BEST, una herramienta interna que permite a los agentes registrar, investigar y gestionar derivaciones secundarias en los checkpoints, con acceso simultáneo a múltiples bases de datos policiales.
- Procedimientos sobre infracciones migratorias, formularios necesarios y listas de verificación de una página llamada «Agents Resources Page».
No es una lista de conceptos generales. Es información operativa concreta. El tipo de información que, en manos equivocadas, podría usarse para saber exactamente cómo entrar a una instalación sin levantar sospechas.
El momento en que todo se hizo privado
El conjunto de tarjetas estuvo disponible públicamente hasta el 20 de marzo de 2025. Menos de media hora después de que WIRED contactara por teléfono a un número potencialmente vinculado al usuario que lo creó, el mazo pasó a ser privado.
Esa velocidad de reacción dice bastante. No sabemos con certeza si el creador era un agente activo del CBP o un contratista, aunque un individuo con el mismo nombre aparecía registrado en una dirección a menos de 1 kilómetro de una instalación del CBP en Kingsville.
El CBP confirmó que el incidente está siendo revisado por su Oficina de Responsabilidad Profesional, aunque aclaró que «una revisión no debe interpretarse como indicación de irregularidad». El Departamento de Seguridad Nacional (DHS) y el ICE no respondieron a las solicitudes de comentario.
Quizlet, por su parte, emitió un comunicado estándar: que toman en serio los informes de contenido sensible y que actúan con rapidez cuando algo viola sus políticas. Correcto, aunque tampoco es que hubieran detectado nada por sí solos.
El problema de fondo: el factor humano en ciberseguridad
Este caso es un ejemplo casi de manual de lo que en seguridad se llama «exposición involuntaria de información» o inadvertent data disclosure. No hay un atacante externo. No hay un sistema comprometido. Hay una persona que, probablemente con la mejor intención del mundo —estudiar para una evaluación interna—, volcó información operativa en una plataforma de acceso público.
Y aquí está el nudo del problema: las herramientas de productividad y aprendizaje no están diseñadas con una mentalidad de seguridad. Quizlet, Notion, Google Docs, Trello… son plataformas pensadas para compartir y colaborar, y su configuración por defecto suele ser abierta. Si nadie te ha formado para pensar en ello, es fácil no caer en la cuenta de que «público» significa literalmente accesible para todo el mundo.
Esto no es nuevo. En los últimos años hemos visto incidentes similares en repositorios de código como GitHub —donde desarrolladores suben proyectos con credenciales de acceso incluidas en el código—, en documentos de Google Drive con permisos mal configurados, o en tableros de Trello de empresas con información de clientes accesible sin contraseña. La tecnología cambia, el error humano persiste.
La formación como primera línea de defensa
En entornos de alta seguridad como el CBP, la formación en manejo de información clasificada debería ser exhaustiva y continua. Pero incluso con formación, los errores ocurren. La diferencia está en los controles que existen para detectarlos antes de que cause daño.
En este caso, el detector fue un periodista de WIRED. No un sistema automatizado de monitorización, no un proceso interno de auditoría. Un periodista que encontró el mazo, lo analizó y contactó al posible responsable.
Eso debería hacernos pensar en cuántas filtraciones similares están ahí fuera, en plataformas públicas, sin que nadie las haya encontrado todavía.
El contexto importa: contrataciones masivas y brechas potenciales
No es casual que esto ocurra ahora. El CBP está en medio de un proceso de contratación acelerado, con incentivos de hasta 60.000 dólares en bonificaciones de captación y retención para nuevos agentes. El ICE también está reclutando de forma agresiva, ofreciendo hasta 50.000 dólares de bonificación por firma y 60.000 dólares en pago de préstamos estudiantiles.
Las contrataciones masivas y rápidas tienen un coste en seguridad que no siempre se mide bien. Cuando incorporas muchas personas en poco tiempo, la formación se comprime, los procesos de vetting se aceleran y la cultura de seguridad —que se construye con tiempo y ejemplos— no tiene margen para consolidarse. No digo que el autor de este mazo fuera un nuevo empleado, porque no lo sabemos. Pero el contexto es relevante.
Qué debería haber pasado
Un protocolo mínimo en cualquier organización que maneja información sensible incluye:
- Formación específica sobre qué información puede digitalizarse, en qué plataformas y con qué configuraciones de privacidad.
- Listas de herramientas autorizadas para el estudio, la toma de notas o la colaboración interna.
- Monitorización activa de menciones o publicaciones relacionadas con la organización en plataformas externas.
- Canales internos seguros para preparar evaluaciones o revisar procedimientos, de forma que nadie sienta la necesidad de recurrir a Quizlet.
Nada de esto es especialmente complejo ni caro. Es, básicamente, higiene de seguridad. Y sin embargo, sigue fallando.
Lo que queda en el aire
Lo más inquietante no es lo que WIRED encontró. Es lo que potencialmente no encontró. Un mazo de estudio en Quizlet es visible porque Quizlet es una plataforma indexada por buscadores. Pero hay decenas de plataformas similares, canales de mensajería, grupos privados o documentos compartidos donde este tipo de información puede circular sin que nadie lo detecte.
Para un actor con malas intenciones, la búsqueda de este tipo de datos no requiere grandes recursos técnicos. Requiere paciencia, conocimiento de las plataformas y saber qué buscar. Eso es lo que en inteligencia se llama OSINT (Open Source Intelligence): recopilar información de fuentes abiertas. Y funciona, precisamente, porque la gente sigue cometiendo errores como este.
El hecho de que los códigos de acceso físico a instalaciones fronterizas hayan estado disponibles públicamente durante semanas es, como mínimo, una llamada de atención seria. Que la revisión interna del CBP determine el alcance real del daño ya es otra historia.
