Dos infantes de marina han demandado al Pentágono por una filtración de datos personales que expuso registros vinculados a aproximadamente 3,05 millones de personas, convirtiendo un fallo de ciberseguridad ocurrido hace meses en una nueva prueba del deber legal de las fuerzas armadas de proteger las identidades de los miembros del servicio, los veteranos y otros afiliados.

La demanda colectiva propuesta, presentada el lunes ante un tribunal federal en Washington, alega que los atacantes accedieron a un entorno de intercambio de archivos sin cifrar administrado por el Centro de Datos de Personal del Departamento de Defensa (DMDC, por sus siglas en inglés) y obtuvieron números de la Seguridad Social y otros identificadores confidenciales. La demanda solicita más de 5 millones de dólares en daños y perjuicios, así como la imposición judicial de cambios en la seguridad, pero sus alegaciones no han sido probadas y un juez aún no ha certificado la demanda colectiva.

La presentación de este documento es significativa porque DMDC no es una base de datos militar secundaria. Se trata de un repositorio central de personal utilizado para la preparación operativa, beneficios, nóminas, investigación y detección de fraudes. Un aviso indica que el sistema abarca a miembros actuales y antiguos de todas las ramas de las fuerzas armadas, jubilados, dependientes, empleados civiles y otros grupos afiliados al Departamento de Defensa.

Lo que alega la demanda

Los demandantes Tristyn Edwards, infante de marina en servicio activo, y Morgan Stampfli, exinfante de marina, afirman que la filtración se debió a que el departamento no encriptaba la información confidencial ni corregía las vulnerabilidades de seguridad conocidas. Presentan una demanda amparándose en la Ley de Privacidad de 1974 y solicitan al tribunal que exija medidas de seguridad más estrictas, servicios de protección de identidad ampliados y una indemnización por las pérdidas sufridas.

Edwards alega haber descubierto cargos no autorizados en su tarjeta de débito por un total de $317.91 y haber recibido posteriormente correos electrónicos que indicaban que información personal relacionada con él había aparecido en la web oscura. Stampfli alega un cargo fraudulento de $271.19 y un aumento en los mensajes no deseados y los registros de cuentas. Estos incidentes son fundamentales para su demanda por daños y perjuicios, pero la demanda no establece que los intrusos hayan causado cada transacción. Es probable que esta cuestión causal sea objeto de controversia si el caso sigue adelante.

Reuters informó el miércoles que el Pentágono y los abogados de los demandantes no respondieron de inmediato a las solicitudes de comentarios. El gobierno aún no ha presentado su respuesta, por lo que se desconocen sus argumentos legales y su versión de los hechos, más allá de lo expuesto en la notificación previa.

Nueve meses de acceso

El incidente subyacente comenzó mucho antes de la demanda. Una carta de notificación, autenticada por Military Times con dos funcionarios de defensa, indicaba que usuarios no autorizados podrían haber accedido al entorno desde octubre de 2025 hasta que se descubrió la vulnerabilidad el 16 de julio de 2026. La información expuesta no estaba cifrada.

Posteriormente, funcionarios de defensa estimaron que la población afectada ascendía a unos 2,76 millones de personas vivas y 294 000 fallecidas, según Stars and Stripes. Los datos podrían incluir nombres, fechas de nacimiento, información de contacto, números de la Seguridad Social y detalles del personal militar. El DMDC informó que reparó el sistema y ofreció a las personas afectadas un año de monitoreo de crédito y asistencia para la recuperación de identidad.

La notificación del departamento indicaba que, en ese momento, no tenía indicios de que la información expuesta hubiera sido utilizada indebidamente. Esta declaración no resuelve las alegaciones posteriores de los demandantes: la ausencia de un uso indebido detectado es diferente de la prueba de que no se produjo. Tampoco demuestra que la filtración haya provocado la actividad financiera que describen.

Por qué esta base de datos es importante

El aviso sobre registros federales describe un sistema que respalda el análisis de recursos humanos, la preparación del personal, la elegibilidad para beneficios de salud, el cobro de deudas y la comparación de datos con otras agencias. Enumera los registros que pueden incluir números de Seguro Social, información de servicio, datos de contacto del trabajo y del domicilio, datos financieros utilizados en investigaciones de antecedentes, información sobre reclamaciones médicas y otros identificadores. La amplitud de la información hace que una filtración tenga consecuencias importantes, incluso cuando el archivo robado representa solo una parte de la base de datos completa.

El aviso también indica que las medidas de seguridad del Departamento de Defensa incluyen límites de acceso, autenticación multifactor, cifrado de disco y red, detección de intrusiones y auditorías de seguridad. Por lo tanto, la alegación de la denuncia de que el sistema de intercambio de archivos comprometido contenía información sin cifrar plantea una cuestión de responsabilidad más específica: si los controles descritos para el sistema de registros general se aplicaron realmente al entorno al que accedieron los atacantes.

Un de TechTarget señaló que el departamento no había identificado públicamente la tecnología de intercambio de archivos, la vulnerabilidad explotada ni a los intrusos. Sin esos detalles, los analistas externos no pueden evaluar de forma independiente si el punto de entrada era de reciente descubrimiento, no se había corregido o estaba mal configurado.

La demanda incluye alegaciones individuales y una solicitud de reparación; por sí sola no prueba negligencia, causalidad ni daños. El tribunal debe determinar primero si los demandantes tienen legitimación procesal, si la Ley de Privacidad permite la reparación solicitada y si se puede certificar una demanda colectiva. La cantidad reclamada es una pretensión jurisdiccional, no una indemnización.

Para el personal afectado, los hechos más inmediatos siguen siendo la notificación oficial: es posible que se haya accedido a su información de identificación, el período de acceso duró aproximadamente nueve meses y existen servicios de monitoreo disponibles. La nueva denuncia aumenta la presión sobre el Pentágono para que explique cómo un entorno sin cifrar permaneció accesible durante tanto tiempo, qué registros respaldan su evaluación de la brecha y si un año de monitoreo se corresponde con la duración del riesgo creado por la exposición de los números de la Seguridad Social.

¿Qué sigue?

El caso, Edwards contra el Departamento de Defensa, está registrado con el número 1:26-cv-03667 en el Tribunal de Distrito de los Estados Unidos para el Distrito de Columbia. El gobierno tendrá la oportunidad de solicitar el sobreseimiento o responder a las acusaciones. Si se permite la fase de descubrimiento de pruebas, esta podría proporcionar el primer informe público detallado sobre la arquitectura del sistema, el cronograma de detección y las decisiones de seguridad interna del departamento.

Hasta entonces, el acontecimiento más trascendental no es la determinación de responsabilidad, sino el paso de la notificación de la violación de seguridad a la revisión judicial contradictoria. Un caso judicial puede obligar a establecer distinciones precisas entre exposición, uso indebido y daño indemnizable, al tiempo que pone a prueba si las garantías de privacidad declaradas por el gobierno fueron adecuadas para uno de sus mayores repositorios de información de personal militar.