Las sombras de la ciberseguridad federal: cuando los protectores son vulnerables

La brecha de seguridad es el pan de cada día en mi sector, pero cuando afecta a quienes deberían ser los guardianes supremos de la ciberseguridad nacional, las alarmas saltan a un nivel completamente diferente. Y eso es exactamente lo que ha ocurrido recientemente con un caso que pone en entredicho toda la infraestructura de ciberseguridad federal en Estados Unidos.

Una filtración que revela vulnerabilidades mayores

Hace poco se ha destapado que las credenciales de acceso de Kyle Schutt, un ingeniero informático que trabaja simultáneamente para la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) y el Departamento de Eficiencia Gubernamental (DOGE), han aparecido en múltiples filtraciones públicas procedentes de malware tipo «info-stealer». Para que nos entendamos: es como si el vigilante de seguridad del banco dejara todas las llaves de las cajas fuertes a la vista.

Lo preocupante no es solo la filtración en sí, sino lo que implica: los dispositivos de Schutt han sido probablemente comprometidos en los últimos años. Este ingeniero de unos 30 años, según reportes de Dropsite News, obtuvo acceso en febrero a un «sistema central de gestión financiera» perteneciente a la Agencia Federal para el Manejo de Emergencias (FEMA). Estamos hablando de alguien que maneja información extremadamente sensible sobre la seguridad de las redes gubernamentales federales y la infraestructura crítica en todo Estados Unidos.

El rastro digital comprometido

El periodista Micah Lee reveló que los nombres de usuario y contraseñas para acceder a varias cuentas de Schutt han sido publicados al menos cuatro veces desde 2023 en registros de malware de tipo stealer (ladrón). Y no, esto no es un simple descuido.

Este tipo de malware suele infectar dispositivos a través de aplicaciones troyanizadas, phishing o explotando vulnerabilidades de software. Una vez dentro, no solo roba credenciales de acceso, sino que puede registrar todas las pulsaciones de teclas y capturar la salida de pantalla. Imagina que alguien no solo tiene las llaves de tu casa, sino que además te está grabando mientras escribes la combinación de la caja fuerte.

«No tengo forma de saber exactamente cuándo se hackeó el ordenador de Schutt, o cuántas veces», escribió Lee. «No sé casi nada sobre los orígenes de estos conjuntos de registros de stealer. Es posible que lo hayan hackeado hace años y que los conjuntos de registros se hayan publicado recientemente. Pero también es posible que lo hayan hackeado en los últimos meses».

Un patrón preocupante a largo plazo

Lo que hace este caso particularmente alarmante es que no parece ser un incidente aislado. Las credenciales de una cuenta de Gmail conocida por pertenecer a Schutt han aparecido en 51 brechas de datos y cinco «pastes» (fragmentos de texto compartidos públicamente) rastreados por el servicio de notificación Have I Been Pwned.

Entre estas filtraciones se encuentra una de 2013 que robó datos de contraseñas de 3 millones de usuarios de Adobe, otra de 2016 que afectó a 164 millones de usuarios de LinkedIn, una brecha en 2020 que comprometió a 167 millones de usuarios de Gravatar y una filtración el año pasado del sitio de noticias conservador The Post Millennial.

Las implicaciones más allá del individuo

Es importante entender que la presencia de credenciales de una persona en estos registros no indica automáticamente que el individuo haya sido comprometido o que usara una contraseña débil. En muchos casos, estos datos quedaron expuestos a través de vulnerabilidades en las bases de datos de los proveedores de servicios.

Sin embargo, el flujo constante de credenciales publicadas de Schutt durante más de una década es un claro indicio de que las contraseñas que ha utilizado han sido de conocimiento público en varios momentos. Y aquí viene lo realmente preocupante: si Schutt utilizó las mismas credenciales o similares en sistemas o máquinas durante su trabajo en CISA y DOGE, los atacantes podrían haber accedido a información sensible.

Fallos sistemáticos, no solo personales

Los críticos del DOGE afirman que los hallazgos de Lee son coherentes con otros fallos de seguridad operativa de la oficina, como un sitio web que podía ser editado por cualquiera y un acceso sin precedentes y extraordinariamente amplio a datos gubernamentales, como los almacenados en el sistema federal de nóminas.

«A estas alturas es difícil no sospechar que su terrible seguridad operativa es una elección, y que hay personas específicas (ejem, ejem, los rusos) a las que están filtrando secretos, siendo la incompetencia simplemente una plausible negación de su verdadera agenda traidora», escribió un crítico en Mastodon.

Aunque esta última afirmación puede parecer exagerada, plantea una pregunta incómoda: ¿estamos ante negligencia o hay algo más?

Lecciones para todos en ciberseguridad

Este caso, aunque extremo por el perfil de las personas y organizaciones involucradas, nos recuerda algo fundamental: nadie está exento de convertirse en objetivo. Si agencias dedicadas a la ciberseguridad pueden tener estas vulnerabilidades, ¿qué podemos esperar del resto?

La seguridad en capas, la autenticación multifactor, el no reutilizar contraseñas y mantenerse al día con las actualizaciones de software son prácticas que se repiten hasta la saciedad, pero casos como este demuestran que siguen siendo ignoradas incluso en los niveles más altos.

Lo realmente preocupante es que en mayo de 2025, cuando las técnicas de los atacantes han evolucionado significativamente, seguimos viendo fallos básicos de ciberseguridad en las organizaciones que deberían ser ejemplo para el resto.

El factor humano: el eslabón más débil

A menudo hablamos de tecnologías avanzadas, algoritmos sofisticados y sistemas de defensa de última generación, pero este caso subraya una verdad que los profesionales de la seguridad conocemos bien: el factor humano sigue siendo el eslabón más débil.

Incluso con toda la formación del mundo, las personas cometen errores, reutilizan contraseñas por comodidad o caen en sofisticadas campañas de phishing. La diferencia es que cuando quien comete estos errores tiene acceso a sistemas críticos nacionales, las consecuencias pueden ser devastadoras.

En definitiva, este caso nos recuerda que la ciberseguridad no es solo implementar tecnología avanzada, sino también garantizar que las personas que la utilizan están adecuadamente formadas, vigiladas y protegidas contra sus propios hábitos potencialmente peligrosos. Porque de nada sirve tener la mejor cerradura del mundo si luego dejamos las llaves debajo del felpudo.