Hackers accedieron a millones de registros de personal militar de los Estados Unidos en una brecha de seguridad que se habría extendido por un período prolongado antes de ser detectada, según se informó. El incidente representa uno de los compromisos de datos sensibles de defensa más significativos conocidos públicamente en los últimos años.
La filtración, reportada el 30 de septiembre de 2025, involucra datos de integrantes de las Fuerzas Armadas estadounidenses. Según se informó, los atacantes mantuvieron acceso a los sistemas comprometidos durante un tiempo considerable, lo que amplía el potencial daño: cuanto mayor es la ventana de acceso no detectada, mayor es el volumen de datos que puede ser exfiltrado y mayor la dificultad para determinar el alcance real de la exposición. No se han confirmado públicamente los vectores de ataque específicos ni los sistemas afectados.
Datos confirmados hasta el momento
- Afectados: personal militar de las Fuerzas Armadas de EE. UU.
- Volumen: millones de registros, según se informó.
- Duración del acceso: prolongada, sin plazo exacto confirmado públicamente.
- Vector de ataque: no confirmado oficialmente.
- Actor responsable: no atribuido públicamente al momento del reporte.
Qué se sabe y qué falta confirmar
Lo confirmado es que hubo acceso no autorizado y que la escala alcanza millones de registros de personal identificado como militar. Lo que permanece sin confirmar incluye el tipo exacto de datos comprometidos —si abarca información de salud, financiera, inteligencia o simplemente datos de identidad—, la identidad del grupo responsable, y si existió notificación formal a los afectados. En incidentes de esta naturaleza, la clasificación del dato es determinante: un registro con nombre, rango y destino de despliegue tiene implicancias de seguridad nacional muy distintas a un registro administrativo de nómina.
El caso adquiere relevancia regional porque varios países de América Latina mantienen convenios de cooperación militar y de inteligencia con EE. UU., lo que podría significar que datos de contrapartes o contactos latinoamericanos también hayan quedado expuestos. Bajo marcos como la Ley 25.326 de Argentina o la Lei Geral de Proteção de Dados (LGPD) de Brasil, cualquier entidad que procese datos vinculados a ciudadanos de esas jurisdicciones —incluso en contextos de cooperación internacional— tiene obligaciones de notificación ante sus respectivas autoridades de control: la AAIP en Argentina y la ANPD en Brasil. Si existieran datos de ciudadanos o funcionarios latinoamericanos en los sistemas comprometidos, el análisis de notificación transfronteriza se vuelve obligatorio.
El próximo hito crítico es la confirmación oficial del Departamento de Defensa de EE. UU. sobre el alcance de los datos comprometidos y el inicio del proceso formal de notificación a afectados, cuyo plazo dependerá de la legislación federal aplicable y de los acuerdos bilaterales vigentes con cada jurisdicción involucrada.
