DHS: Icepick expone a 41.000 empleados y sus grupos de acceso

El miércoles 28 de octubre el colectivo por la transparencia Distributed Denial of Secrets (DDoSecrets) publicó Icepick, un archivo con los datos de más de 41.000 empleados y colaboradores externos del Department of Homeland Security (DHS) de Estados Unidos y de sus agencias. El material procede de un grupo hacktivista que se hace llamar Department of Peace y que afirma haberlo obtenido del sistema de single sign-on de Okta que usa el DHS. CyberScoop, TechCrunch y Wired han verificado por muestreo la autenticidad de los datos.

Para quien gestiona identidades y accesos, lo importante no son solo los contactos: el archivo contiene también la pertenencia a los grupos del directorio, es decir, el mapa de quién puede acceder a qué.

Qué ha pasado

• El Department of Peace entregó los datos a la periodista y hacker maia arson crimew, que compartió una copia con DDoSecrets y creó un sitio para consultarlos (TechCrunch, Wired).
• Según Wired, los registros se actualizaron por última vez el 19 de agosto de 2026; TechCrunch, a partir de las fechas de cada registro, sitúa la exfiltración hacia mediados de agosto. La brecha no se había hecho pública antes.
• El grupo presenta la acción como represalia contra las políticas migratorias del DHS. En la nota que acompaña a los archivos escribe: «Ellos tienen nuestra información, así que es justo que nosotros tengamos la suya».
• El DHS declaró estar «al tanto de una posible brecha» y trabajar para resolverla. Okta afirma estar al tanto de la noticia y no tener pruebas de que sus datos o sistemas se hayan visto comprometidos.
• No se sabe cómo se produjo el acceso ni si el punto débil se ha cerrado: el grupo no respondió a las preguntas de TechCrunch.

Según Wired, Bluesky bloquea los enlaces al archivo y al sitio de búsqueda y los marca como «maliciosos», porque contienen datos de contacto compartidos sin autorización.

Detalles técnicos

Contenido de los registros. Nombre, cargo, correo y móvil de trabajo, sede de la oficina y, en la mayoría de los casos, el responsable directo: según Wired, basta para reconstruir las líneas jerárquicas de todo el departamento. TechCrunch indica que los datos incluyen también información de TI y de acceso de las cuentas, con los sistemas y las aplicaciones internas a los que cada usuario está habilitado.

Grupos de autorización. El conjunto de datos recoge la pertenencia a los grupos de Active Directory: Wired cuenta más de 55.000. Los nombres de los grupos revelan las aplicaciones en uso (Microsoft 365, Citrix, Adobe Acrobat, herramientas de IA generativa, aplicaciones de mensajería y de reconocimiento facial, plataformas de análisis de investigación) y, según Wired, también referencias a operaciones encubiertas y a programas de interceptación. TechCrunch señala grupos vinculados a las investigaciones sobre Salt Typhoon y Volt Typhoon. CyberScoop observa que algunos grupos se remontan a años atrás (planificación de la COVID-19, eventos internos de 2023): el conjunto de datos incluye también grupos históricos.

Distribución. Más de la mitad de los registros corresponde a la U.S. Customs and Border Protection (unos 21.000 según TechCrunch), unos 10.000 al ICE, 6.200 al USCIS (Wired) y casi 1.000 a la CISA, más de la mitad colaboradores externos según Wired. Las fuentes difieren sobre la proporción de la plantilla afectada: una quinta parte según TechCrunch, una séptima parte según Wired.

MITRE ATT&CK (correspondencia orientativa: el vector de entrada no se conoce): los datos corresponden a lo que un atacante recopila con T1087 (Account Discovery) y T1069 (Permission Groups Discovery); después facilitan T1589 (Gather Victim Identity Information), T1591 (Gather Victim Org Information) y T1656 (Impersonation).

Por qué importa

Un analista de Recorded Future citado por Wired señala que estos datos, si son auténticos y actuales, son un recurso de inteligencia muy valioso para quien quiera penetrar en el DHS: cruzados con otras filtraciones y con datos comerciales permiten identificar a personas vulnerables, preparar suplantaciones creíbles o comprometer investigaciones en curso.

La misma lógica vale para cualquier empresa: una exportación del proveedor de identidad con roles, responsables y grupos es la base ideal para el spear phishing, las llamadas al soporte de TI para restablecer contraseñas y MFA, y los fraudes en los que el atacante se hace pasar por un responsable.

Impacto para las empresas europeas e italianas

• Quien trabaja con las agencias del DHS (proveedores, socios, aerolíneas y empresas de logística en contacto con la CBP) debe esperar mensajes que usen nombres, cargos y números reales.
• El proveedor de identidad es un punto único: Okta y servicios similares están muy extendidos también en Europa. La NIS2 (art. 21) exige medidas de control de acceso y autenticación multifactor; la transposición italiana (D.Lgs. 138/2024) incluye también a las administraciones públicas.
• RGPD: también los contactos de trabajo de los empleados son datos personales; una exfiltración del directorio debe evaluarse para la notificación a la autoridad de control en un plazo de 72 horas.

Qué hacer ahora

1. Revisa los registros del proveedor de identidad: lecturas masivas de usuarios y grupos por API, nuevos tokens de API, asignaciones de roles de administrador, accesos desde dispositivos o redes inusuales, al menos de los últimos 90 días.
2. Reduce los privilegios de tokens y aplicaciones de servicio: nada de tokens de administrador de larga duración, permisos de solo lectura limitados a lo necesario, rotación periódica.
3. MFA resistente al phishing (FIDO2/WebAuthn) para administradores, soporte de TI y usuarios con privilegios.
4. Procedimientos del soporte de TI: restablece contraseñas y MFA solo tras una verificación por otro canal, nunca basándote en el nombre y el cargo declarados.
5. Nombres de los grupos: el caso demuestra que los nombres de las autorizaciones revelan proyectos y actividades. Para los grupos sensibles usa códigos opacos y documenta su significado en otro lugar.
6. Limpieza del directorio: elimina grupos y cuentas obsoletos; el conjunto de datos del DHS contenía grupos de hace años.
7. Prepara a tu personal: si tu directorio acaba en internet, avisa enseguida a los empleados y extrema la atención ante correos y llamadas que citen datos internos.

Cómo ayuda ARXDOME

ARX Sentry recoge los eventos de ordenadores, servidores y cortafuegos y, en sus páginas dedicadas a las identidades, destaca los accesos con privilegios, las ráfagas de intentos, los accesos nocturnos y los cambios en las cuentas. ARX Expose señala las cuentas de la empresa implicadas en brechas y los dominios similares al tuyo registrados por otros, a menudo usados en suplantaciones. Con ARX Horizon puedes consultar desde el portal las fuentes de inteligencia de amenazas sobre indicadores sospechosos.

Última actualización: 29 de octubre de 2026