¿Qué datos médicos del FBI dice haber robado ShinyHunters y cómo?

El grupo de ciberdelincuentes ShinyHunters asegura haber sustraído del FBI expedientes médicos y evaluaciones psiquiátricas de empleados y aspirantes, dentro de una intrusión que podría haber expuesto también información personal y detalles sobre funciones sensibles de agentes. Entre los documentos examinados aparecen referencias a antecedentes de depresión, pruebas médicas y resultados de electrocardiogramas.

La dimensión exacta del robo sigue sin estar confirmada. Reuters pudo autenticar parcialmente varios documentos, pero no determinar que todo el material que los atacantes dicen poseer sea auténtico ni que el volumen alcance los dos o tres terabytes reivindicados por el grupo. El FBI, por su parte, reconoce que investiga una posible compromisión relacionada con su portal de empleo y con datos personales de empleados.

Expedientes médicos, salud mental y datos extremadamente privados

La información médica es probablemente el elemento más delicado conocido hasta ahora. No estamos hablando simplemente de nombres, teléfonos o direcciones de correo filtrados en una base de datos —algo desgraciadamente casi rutinario en los grandes ciberataques—, sino de información sanitaria vinculada a personas identificables.

Uno de los documentos analizados correspondía a un examen de aptitud para el trabajo. Recogía cuestiones relativamente ordinarias, como el consumo diario de aspirina o alergias al polvo y a los gatos. Otro expediente señalaba que un candidato había mostrado síntomas de depresión durante el instituto. Un tercer archivo contenía el resultado de un electrocardiograma.

Los atacantes sostienen que tienen mucho más: recetas, consultas clínicas, bajas y otros problemas de salud de agentes. Esa parte, sin embargo, permanece sin verificar. Reuters solo tuvo acceso a alrededor de media docena de archivos y esa pequeña muestra no permite conocer el contenido completo del supuesto botín.

Ahí está la diferencia entre una filtración embarazosa y algo bastante más serio. Un dato médico puede revelar una enfermedad, un tratamiento pasado, una vulnerabilidad personal o una circunstancia familiar que jamás debió abandonar un sistema protegido. Y una vez copiado, no existe el equivalente digital de cambiar una contraseña.

El hackeo también habría expuesto quién hace qué dentro del FBI

El problema no termina en la consulta médica. Días antes de conocerse los expedientes sanitarios, una muestra de los datos entregada por ShinyHunters ya había permitido identificar información sobre miles de trabajadores y antiguos empleados del FBI.

Entre los campos aparecían nombres, direcciones, teléfonos, fechas de nacimiento, números de la Seguridad Social estadounidense y contactos de emergencia. Más delicado todavía: algunos registros señalaban destinos y áreas concretas de trabajo dentro de la agencia.

Reuters pudo comprobar individualmente datos correspondientes a más de una veintena de personas, aunque no consiguió autenticar la base completa. Parte del material asociaba empleados con áreas relacionadas con China, Rusia, Irán, Hezbolá, inteligencia humana, interceptación de comunicaciones o vigilancia técnica.

Un riesgo que va más allá del robo de identidad

Ese cruce entre datos personales, historiales médicos y funciones profesionales explica por qué especialistas en contrainteligencia observan el incidente con especial preocupación. No es la misma amenaza conocer el correo electrónico de una persona que disponer de una radiografía bastante completa de su vida privada y de su trabajo.

Conocer el teléfono de un funcionario es una cosa. Saber dónde vive, quién figura como contacto de emergencia, qué problemas médicos ha tenido y que trabaja, por ejemplo, en una unidad dedicada a investigar operaciones de inteligencia extranjeras es otra muy distinta. La combinación permite construir perfiles personales extraordinariamente detallados.

Ese material puede facilitar suplantaciones, campañas de ingeniería social, acoso o intentos de presión y resulta especialmente valioso para servicios de inteligencia extranjeros interesados en identificar qué personas trabajan contra ellos. El antiguo miembro del FBI Eric O’Neill comparó la gravedad potencial del episodio con el gran robo sufrido en 2015 por la Oficina de Gestión de Personal de Estados Unidos, aunque el alcance actual todavía no permite equiparar ambos casos.

Qué ha confirmado realmente el FBI

El FBI ha sido bastante más prudente que los atacantes. La agencia confirmó el 23 de septiembre que estaba al corriente de las afirmaciones de un grupo de ciberdelincuencia sobre una posible compromisión de FBIJobs.gov, el portal utilizado para procesos de contratación, y sobre un posible impacto en información personalmente identificable de sus empleados.

La investigación sigue abierta y el propio FBI admite que todavía no ha establecido con certeza dónde se produjo la brecha: podría encontrarse en infraestructura propia o en alguno de los proveedores externos que dan soporte al portal.

La agencia asegura estar trabajando con esas empresas para contener cualquier riesgo. No ha confirmado públicamente, sin embargo, que ShinyHunters consiguiera acceder a todos los sistemas internos que dice haber penetrado ni que posea toda la información que afirma tener.

Ese matiz importa. ShinyHunters tiene un historial conocido de grandes robos de datos, pero el propio FBI había advertido meses antes de que el grupo también podía exagerar el nivel de acceso conseguido para aumentar la presión sobre sus víctimas. Una afirmación de los atacantes, por sí sola, no equivale a una constatación independiente.

ShinyHunters apunta a PeopleSoft, pero falta una pieza

Los hackers afirman que aprovecharon una vulnerabilidad relacionada con Oracle PeopleSoft, una plataforma empresarial utilizada, entre otras cosas, para gestionar recursos humanos. No se ha podido confirmar que esa fuera realmente la puerta utilizada contra el FBI.

La hipótesis, de todos modos, no surge de la nada. Google ha atribuido a ShinyHunters una campaña de explotación contra instalaciones de PeopleSoft utilizando la vulnerabilidad CVE-2026-35273, considerada crítica. El fallo permite ataques remotos sin necesidad de credenciales en determinadas versiones vulnerables del software.

Mandiant, la división de inteligencia de amenazas de Google, detectó una primera oleada entre finales de mayo y comienzos de junio y comunicó el 25 de septiembre una nueva campaña de explotación masiva, después de que los atacantes adaptaran su técnica para sortear algunas reglas de los cortafuegos de aplicaciones web.

El parche existía, pero los ataques evolucionaron

Oracle había publicado el 10 de junio una alerta específica para CVE-2026-35273 y recomendó instalar las actualizaciones correspondientes. Google sostiene que ShinyHunters modificó posteriormente su método para atacar sistemas que habían aplicado determinadas medidas de mitigación, pero no necesariamente el parche definitivo.

La nueva actividad ha afectado, según Mandiant, a decenas de sistemas de diferentes sectores, desde universidades y empresas tecnológicas hasta sanidad, transporte, agricultura y organismos públicos.

Eso no demuestra que el FBI cayera por ese mismo agujero. Sí ayuda a entender por qué la afirmación de ShinyHunters resulta técnicamente plausible y por qué la investigación intenta reconstruir no solo qué datos pudieron salir, sino exactamente por dónde.

Una filtración especialmente incómoda para una agencia de seguridad

El episodio tiene una ironía difícil de ignorar. El organismo federal encargado de investigar buena parte de la ciberdelincuencia estadounidense está intentando determinar hasta qué punto uno de esos grupos pudo recorrer sus propios sistemas y llevarse información extraordinariamente íntima de quienes trabajan allí.

ShinyHunters dice haber accedido también a FBI MedLink, utilizado para información médica del personal, y a otros servicios relacionados con investigaciones de antecedentes y selección de candidatos. Esas afirmaciones no han podido ser corroboradas de manera independiente.

El grupo había vinculado inicialmente el ataque a una disputa con el FBI. Según los hackers, pretendían que la agencia retirase una advertencia publicada en mayo en la que cuestionaba algunas de sus reivindicaciones sobre ataques anteriores. Más tarde rebajaron el tono público y evitaron aclarar qué harán con los datos si el FBI no atiende sus exigencias.

El peligro, mientras tanto, no depende únicamente de una publicación masiva. Los datos robados pueden conservar valor aunque nunca aparezcan abiertamente en internet. Pueden venderse, intercambiarse, utilizarse selectivamente o acabar en manos de actores interesados en personas concretas. La exposición puede ser silenciosa y aun así resultar muy dañina.

El verdadero alcance aún está por determinar

A 26 de septiembre de 2026 hay dos realidades que conviene separar. Existen documentos médicos y datos de personal atribuidos al FBI que han podido ser verificados parcialmente, y la propia agencia investiga oficialmente una posible compromisión vinculada a FBIJobs.gov. Eso es sólido.

Lo que todavía no puede darse por demostrado es el tamaño completo de la brecha, la autenticidad de todos los archivos, el acceso a cada uno de los sistemas que ShinyHunters menciona o los dos o tres terabytes que asegura haber obtenido.

Pero incluso la parte comprobada basta para que el incidente resulte excepcionalmente delicado. Cuando una filtración reúne datos de identidad, funciones de inteligencia y expedientes médicos, ya no se trata solo de proteger ordenadores. Detrás de cada registro hay una persona —y, en algunos casos, alguien cuyo trabajo consiste precisamente en permanecer lejos de los focos.