Para: cualquier persona que haya recibido, o pueda recibir, un aviso de filtración de datos de una agencia gubernamental nacional o local, y sus familias. También para quienes gestionan sistemas gubernamentales o trabajan para empresas que prestan servicios al gobierno. Este artículo compara cuatro casos usando los avisos, preguntas frecuentes y comunicados oficiales de las propias agencias, además de informes de prensa que citan a funcionarios. No trata técnicas de ataque.
Primero: si una agencia gubernamental le envía un aviso de filtración
Si buscó alguno de estos incidentes, probablemente quiera saber si le afecta y qué hacer. Estos pasos se basan en lo que las propias agencias comunican a la gente.
No use los números ni los enlaces del aviso; consulte el sitio oficial de la agencia
La DGFiP de Francia dice en sus preguntas frecuentes que su aviso "no contiene ningún enlace directo a su espacio tributario y no pide información confidencial". La CSDD de Letonia pidió a la gente que consultara la información en su portal oficial, e.csdd.lv, y creó una sección específica sobre el incidente en su sitio web.
Dicho de otro modo, las agencias legítimas están dejando de pedir que actúe a través de enlaces en un aviso. Compruébelo en un sitio oficial que escriba usted mismo, o en un teléfono principal que busque por su cuenta.
Averigüe qué datos se filtraron y bloquee el uso indebido de cada número
Lo que se filtró determina lo que debe hacer. Si estuvo implicado su número de la Seguridad Social, coloque un bloqueo de crédito en Equifax, Experian y TransUnion (gratuito, y dura hasta que lo levante, según la Comisión Federal de Comercio) y obtenga un IRS IP PIN, un número de seis dígitos que impide que alguien presente una declaración de impuestos con su SSN y que cambia cada año.
En el caso francés, donde se vieron implicados identificadores fiscales y datos de ingresos, la DGFiP recomienda revisar en su espacio de impots.gouv.fr el registro de cuentas bancarias a su nombre (FICOBA) por si hay alguna cuenta que no abrió.
Refuerce el acceso a sus cuentas tributarias y de prestaciones
La DGFiP afirma que en este incidente no se robaron las contraseñas de impots.gouv.fr. Su espacio personal ya utiliza una verificación en dos pasos que envía por correo un código de seis dígitos después de la contraseña, y sus preguntas frecuentes indican que, si llega un código que no solicitó, cambie su contraseña cuanto antes.
El punto práctico es que quien controle la cuenta de correo que recibe el código puede entrar en su cuenta tributaria. Dé a ese buzón una contraseña fuerte y autenticación de dos factores (véase ¿Qué es la autenticación de dos factores?).
Cuelgue a quien diga ser de la agencia y devuelva usted la llamada
La FTC dice que "las agencias gubernamentales nunca le llamarán, enviarán correos, mensajes de texto ni le escribirán en redes sociales para pedirle dinero o información personal", y advierte de que el identificador de llamadas puede falsificarse. La DGFiP repite que la administración tributaria nunca pide información confidencial por correo electrónico, mensaje de texto o teléfono, y la CSDD pidió a la gente que tuviera especial cuidado con los correos y mensajes que parezcan proceder de la CSDD.
Quien llame y conozca su domicilio, sus ingresos, su matrícula o su puesto militar no ha demostrado nada (véase ¿Qué es el phishing?).
Ejerza su derecho de acceso para saber qué se filtró
Si no llega ningún aviso, o es impreciso, tiene derecho a pedir sus propios datos. En la UE existe el artículo 15 del RGPD (que la CNIL francesa afirma que se aplica a las administraciones públicas, es gratuito y exige una respuesta en un mes); en EE. UU., la Privacy Act de 1974; en Japón, el artículo 76 de la Ley de Protección de la Información Personal. La CSDD indicó que su sección sobre el incidente explica el procedimiento para que los clientes obtengan información sobre sus datos afectados.
Señales de un contacto legítimo de una agencia (según las declaraciones de las propias agencias)
- Ningún enlace directo a su cuenta en el aviso (DGFiP)
- Le indica que compruebe en el sitio o la aplicación oficial (CSDD, DGFiP)
- Nunca pide contraseñas, códigos de verificación o números de tarjeta
- La misma información aparece en un aviso o en las preguntas frecuentes del sitio oficial
Señales de una estafa
- Una llamada o mensaje que le pide "confirmar" un número, código o contraseña
- Cita su domicilio o sus ingresos para parecer creíble
- Pide pago, tarjetas regalo o criptomonedas
- Urgencia o amenazas: "hoy", "o será detenido"
Dónde comprobar, por país (ábralos usted mismo)
EE. UU.: bloqueos de crédito e IP PIN a través de la FTC (consumer.ftc.gov) y del IRS (irs.gov). Denuncie estafas en ReportFraud.ftc.gov.
Francia: el aviso y las preguntas frecuentes en impots.gouv.fr; las preguntas frecuentes de la DGFiP indican el 0809 401 401 para consultas. Para ayuda con fraudes, 17Cyber.gouv.fr; para denunciarlo, cybermalveillance.gouv.fr.
Letonia: e.csdd.lv y la sección sobre el incidente en el sitio web de la CSDD.
Illinois: el IDHS indica que los avisos individuales incluyen números gratuitos para consultas.
Los cuatro casos de 2026 de un vistazo
Basado en los avisos, preguntas frecuentes y comunicados oficiales de las agencias, y en informes de prensa que citan a funcionarios. Las cifras son solo las facilitadas por las agencias o los funcionarios.
| Agencia (país) | Anunciado / notificado | Qué salió (según la agencia) | Personas (agencia / funcionarios) | Vía de entrada (según la agencia) |
|---|---|---|---|---|
| Defense Manpower Data Center (DMDC) (DoD de EE. UU.) | Aviso fechado el 18 de septiembre de 2026 (según informes) | Datos personales sin cifrar, incluidos SSN | 2,76 millones vivas y 294.000 fallecidas (un funcionario del Pentágono) | Una vulnerabilidad en un sistema de intercambio de archivos |
| Illinois Department of Human Services (IDHS) (EE. UU.) | 2 de enero de 2026 | Datos de clientes en mapas internos de planificación | Aprox. 32.401 y aprox. 672.616, en dos grupos | Configuración de privacidad incorrecta en un sitio de mapas |
| Road Traffic Safety Directorate (CSDD) (Letonia) | 13 de agosto de 2026 (cifras el 18 de agosto) | Datos históricos de recibos de pago desde 2008 | Unos 1,2 millones (CSDD) | Una vulnerabilidad en una aplicación web que mantenía la CSDD (comisión del Ministerio de Transporte) |
| Directorate General of Public Finances (DGFiP) (Francia) | 14 de agosto de 2026 | Identificadores fiscales, datos relacionados con ingresos y más | Un total de 678.000 personas y empresas (comunicado oficial del Gobierno) | Credenciales suplantadas de un agente y de un tercero autorizado |
1. Un ajuste incorrecto
IDHS: mapas internos dejados públicos en un sitio de mapas externo. No se puede identificar a quienes los vieron
2. Un sistema vulnerable
DMDC: un sistema de intercambio de archivos / CSDD: una aplicación web que mantenía
3. Credenciales suplantadas
DGFiP: identificadores de un agente y de un tercero autorizado. El acceso se cortó; el robo se confirmó después
↓ Sea cual sea la vía de entrada, lo que llega a los ciudadanos es
Contactos de la "agencia" que conocen su domicilio, números, ingresos, coche o puesto militar
Y como es el Estado, no puede simplemente dejar de usar el servicio
Cuatro herramientas que sí tienen los ciudadanos
Consultar los sitios oficiales / proteger las cuentas tributarias y de prestaciones (IP PIN, bloqueo de crédito, el correo que recibe su código) / devolver la llamada usted mismo / derecho de acceso
2 de enero de 2026
El IDHS de Illinois publica un aviso a los medios sobre mapas internos que eran públicamente visibles (dice que lo detectó el 22 de septiembre de 2025).16 de julio
El DMDC descubre una vulnerabilidad en un sistema de intercambio de archivos (según el aviso tal como se informó).12–13 de agosto
Un actor malicioso afirma haber accedido ilegítimamente a los sistemas de la DGFiP; la DGFiP dice que es cuando se confirmó el robo de datos.13 de agosto
La CSDD anuncia que ha sufrido un ciberataque.14 de agosto
El ministerio de Economía y Finanzas de Francia publica un comunicado sobre la DGFiP (678.000).18 de agosto
La CSDD dice que se obtuvieron los datos personales de 1,2 millones de personas.18 de septiembre
El DMDC envía avisos a las personas afectadas (según informes). El mismo día, el Ministerio de Transporte de Letonia publica su evaluación del incidente de la CSDD.Finales de septiembre
Un funcionario del Pentágono facilita a los medios el número de personas afectadas por la filtración del DMDC.
Lo que dijo cada agencia
Basado en los avisos, preguntas frecuentes y comunicados oficiales de las agencias, y en informes de prensa que citan a funcionarios. No se nombran los contratistas ni proveedores que utilizaron las agencias, ni las personas implicadas.
- Qué (el aviso, según se informó)
- El 16 de julio de 2026, el DMDC descubrió una vulnerabilidad de seguridad en un sistema de intercambio de archivos. Dice que un pequeño número de usuarios no autorizados accedió a archivos de un servidor con información personal sin cifrar entre octubre de 2025 y el 16 de julio de 2026
- Datos
- Números de la Seguridad Social y al menos otro dato (nombre, fecha de nacimiento, datos de contacto, sexo, raza o información de personal militar como la especialidad laboral). Varía según la persona
- Personas
- Un funcionario del Pentágono dijo a los medios que se vieron afectadas 2,76 millones de personas vivas y 294.000 fallecidas
- Respuesta
- Corrigió la vulnerabilidad y restauró el sistema. Según el aviso, no hay indicios de que la información se haya usado indebidamente. Ofrece 12 meses de monitorización crediticia gratuita
- Qué
- El 22 de septiembre de 2025, el IDHS descubrió que los mapas internos de planificación que su personal había creado en un sitio de mapas eran públicamente visibles por una configuración de privacidad incorrecta. Los mapas estaban pensados para uso interno, para decisiones como dónde abrir nuevas oficinas locales
- Quiénes y cuándo
- Aproximadamente 32.401 clientes de la División de Servicios de Rehabilitación (accesibles públicamente de abril de 2021 a septiembre de 2025), y aproximadamente 672.616 beneficiarios de Medicaid y del Programa de Ahorro para Medicare (de enero de 2022 a septiembre de 2025)
- Datos
- Para el primer grupo: nombres, direcciones, números de caso, estado del caso, fuente de derivación y más. Para el segundo: direcciones, números de caso, información demográfica y el nombre del plan de asistencia médica, sin los nombres de los beneficiarios
- Respuesta
- Cambió la configuración de todos los mapas entre el 22 y el 26 de septiembre de 2025, y adoptó una política que prohíbe datos a nivel de cliente en sitios de mapas públicos. Dice que el sitio de mapas no pudo identificar quién vio los mapas, y desconoce cualquier uso indebido
- Qué (13 de agosto)
- Dijo que fue objeto de un ciberataque sofisticado durante un fin de semana; los atacantes accedieron parcialmente a sistemas informáticos y obtuvieron datos históricos de recibos de pago de los servicios de la CSDD. Detuvo el ataque con CERT.LV e informó a las autoridades, incluida la Inspección Estatal de Datos. Dijo que los nombres de usuario y las contraseñas de los clientes no se vieron afectados
- Alcance (18 de agosto)
- Datos personales de 1,2 millones de personas, de recibos desde 2008: número de identidad personal o de registro de empresa, nombre o razón social, importes y fechas de pago, matrículas de vehículos y direcciones (no completas en todos los casos). Según se informó, no se vieron comprometidos los números de teléfono ni las direcciones de correo electrónico
- Evaluación (18 de septiembre)
- Una comisión del Ministerio de Transporte concluyó que una vulnerabilidad en una aplicación web que mantenía la CSDD permitió el acceso inicial. Situó el alcance en unos 1,15 millones de personas y hasta 200.000 entidades jurídicas, y recomendó, entre otras cosas, revisar los plazos de conservación de datos y mejorar los contratos y la supervisión de los servicios externalizados
- Después
- Los servicios presenciales y e-CSDD continuaron
- Qué
- Un actor malicioso reclamó el robo los días 12 y 13 de agosto de 2026. Según el comunicado oficial del Gobierno, el acceso ilegítimo de junio y julio se basó en credenciales suplantadas de un agente de la DGFiP y de un tercero autorizado. La DGFiP cortó el acceso cuando lo detectó, pero las comprobaciones en ese momento no revelaron que se hubieran extraído datos, según dice
- Personas
- Un total de 678.000 personas y empresas (comunicado). Las preguntas frecuentes posteriores indican algo más de 350.000 personas físicas y algo más de 250.000 empresas
- Datos (personas físicas)
- Identificador fiscal, estado civil, datos de contacto postales, de teléfono y de correo electrónico, situación fiscal (situación familiar, personas a cargo, número de acciones, renta fiscal de referencia, tipo de retención) y la lista de mensajes intercambiados a través de impots.gouv.fr. Para menos de 250 personas, también el contenido de los mensajes (los adjuntos no se vieron). También se consultaron datos del registro de la propiedad sobre direcciones y superficies de inmuebles
- Respuesta
- Cortó el acceso de las cuentas de agente utilizadas y, de forma preventiva, el acceso a sistemas sensibles. Remitió el asunto a la CNIL y presentó una denuncia. Reforzó la protección de las cuentas tributarias de las personas afectadas, vigilando de cerca en los próximos meses los cambios de domicilio o de cuenta bancaria. Según dice, los espacios personales y profesionales de impots.gouv.fr y las contraseñas no se vieron comprometidas
Cómo leer las cifras
La cifra del DMDC es la que un funcionario del Pentágono facilitó a los medios; este sitio no encontró una página pública de aviso del Departamento de Defensa al comprobarlo. La CSDD anunció 1,2 millones de personas el 18 de agosto, mientras que la evaluación del Ministerio de Transporte del 18 de septiembre da unos 1,15 millones de personas y hasta 200.000 entidades jurídicas.
La DGFiP desglosó en sus preguntas frecuentes la cifra de 678.000 de su comunicado en personas y empresas. Este artículo no clasifica los cuatro casos según su gravedad. Por otra parte, la DGFiP también informó de que el 17 de agosto se encontró una vulnerabilidad técnica en un portal de bienes vacantes que contenía solo datos públicos.
Opinión de este sitio: cuando no puede dejar de usar la agencia, sus herramientas son sus derechos legales y los pasos que bloquean el uso indebido
Cuando un servicio privado filtra sus datos, la mayoría piensa en cerrar la cuenta. Con una oficina tributaria, una agencia de prestaciones, el registro de conductores y vehículos, o los registros de personal militar, no puede hacerlo. Y estos cuatro casos afectaron a años de registros (los recibos de la CSDD desde 2008, los mapas del IDHS desde 2021) e incluso a registros de personas que han fallecido desde entonces (294.000 fallecidas en el caso del DMDC).
Así pues, lo que funciona en el lado del ciudadano no es cambiar de proveedor, sino dos herramientas. Una son los derechos: use el derecho de acceso para saber qué se guardaba y qué se filtró. La otra son los pasos que bloquean el uso indebido allí donde un número filtrado podría abusarse (nuevos créditos, declaraciones de impuestos, su cuenta tributaria): un IP PIN, un bloqueo de crédito y un buzón protegido para sus códigos de verificación.
Como muestra el caso del IDHS, algunas filtraciones llegan sin ninguna forma de saber quién vio los datos. Esperar a encontrar pruebas de uso indebido llega tarde, en opinión de este sitio.
Artículos de este sitio sobre casos relacionados del mismo año
Otros casos de gobiernos y organismos públicos se tratan en detalle en sus propios artículos, por lo que no se repiten aquí.
- El sitio francés de solicitudes de documentos de identidad y permisos de conducir (ANTS / France Titres): una lista de personas con trámites en curso, y cómo detectar mensajes falsos de la ANTS → La filtración de France Titres (ANTS)
- Companies House del Reino Unido: un fallo que permitía a usuarios conectados ver los datos de los directores de otras empresas → El fallo de WebFiling de Companies House
- Agencia Digital de Japón (GSS): una intrusión en el entorno de trabajo compartido del personal gubernamental mediante una vulnerabilidad de VPN → La filtración de la Agencia Digital y cómo proteger las VPN
- El Gobierno australiano: un agente de IA accedió a archivos no públicos de un portal estadístico, y el aviso llegó a un buzón público general → Casos de acceso no autorizado por agentes de IA
Para quienes gestionan sistemas gubernamentales o trabajan para contratistas del Gobierno: un primer paso para cada vía de entrada
1. Ajustes incorrectos: enumere el alcance de uso compartido de cada servicio externo
El caso del IDHS ocurrió en un sitio de mapas, el tipo de servicio externo que rara vez se gestiona como un sistema de información. La solución de la agencia fue una política según la cual ningún dato a nivel de cliente va a sitios de mapas públicos.
El primer paso es listar las herramientas SaaS externas que usa el personal (mapas, formularios, hojas de cálculo compartidas, intercambio de archivos) y encontrar cualquier cosa configurada como "cualquiera con el enlace" o "pública". Con servicios así, puede que nunca sepa quién vio los datos, por lo que la prevención es la única opción.
2. Sistemas vulnerables: ¿cuántos años de datos sin cifrar hay en sus recursos compartidos de archivos?
El caso del DMDC involucró un sistema de intercambio de archivos; el caso de la CSDD, una aplicación web que mantenía la dirección. En general, la rapidez para aplicar parches no basta por sí sola.
Haga inventario de si los números que las personas no pueden cambiar, como los SSN, están sin cifrar en ubicaciones de intercambio de archivos, y cuántos años de registros se guardan allí. Esa es la idea que sustenta la recomendación de la comisión del Ministerio de Transporte de revisar los plazos de conservación de datos en la CSDD. Cómo defender los dispositivos de borde y el software se trata en cómo defender su VPN.
3. Credenciales suplantadas: exija al personal y a los terceros autorizados el mismo nivel
En el caso de la DGFiP, el Gobierno afirma que se suplantaron las credenciales de un tercero autorizado además de las de un agente. Los sistemas gubernamentales tienen cuentas para personas que no son personal: contratistas y profesionales que actúan en nombre de los ciudadanos. El primer paso es exigir el mismo MFA resistente al phishing (llaves de acceso o claves de seguridad FIDO2) para las cuentas que no son de personal que para el personal, y limitar lo que cada cuenta puede ver a lo que necesita el trabajo (véase ¿Qué es una passkey?).
Compruebe por separado 'se cortó el acceso' y 'no se llevó nada'
La DGFiP dice que, cuando detectó y cortó el acceso ilegítimo, aún no podía ver que se hubieran extraído datos. En general, desactivar una cuenta y establecer cuántos registros leyó y envió esa cuenta son tareas distintas. Para lo segundo, registre cuántos registros consulta cada cuenta al día, y genere una alerta cuando supere un múltiplo de lo normal, empezando por sus datos más sensibles.
Si le afecta: el peligro más cercano es el contacto de la 'agencia' que sigue al aviso
En los cuatro casos se filtraron datos que solo usted debería conocer: direcciones, números de identificación, ingresos, matrículas y puestos militares. Eso basta para preparar llamadas, mensajes de texto y correos convincentes.
Si alguien pide un código, una contraseña o datos bancarios en nombre de una "compensación", "una devolución de impuestos" o "actualizar su registro", cuelgue y llame a un número que haya buscado usted mismo en el sitio oficial de la agencia. Las preguntas frecuentes de la DGFiP aconsejan conservar pruebas (mensajes, direcciones de sitios, capturas de pantalla) si sospecha de fraude.
Fuentes (registros públicos)
Los hechos de este artículo se basan en los avisos oficiales y registros públicos que aparecen a continuación, y en informes de prensa que citan a funcionarios. Las cifras son solo las facilitadas por las agencias, los gobiernos o los funcionarios; no se usan estimaciones de prensa ni especulaciones sobre causas no divulgadas. Los contratistas y proveedores se describen solo por su función.
- Illinois Department of Human Services, "Notice to the Media from Illinois Department of Human Services – Incident Involving Protected Health Information" (2 de enero de 2026) — idhs.prezly.com
- CSDD, "CSDD saskārusies ar kiberdrošības incidentu" (13 de agosto de 2026, anuncio oficial publicado por Latvijas Vēstnesis) — lvportals.lv
- CSDD, "CSDD mājaslapā izveidota vienota sadaļa par kiberdrošības incidentu" (21 de agosto de 2026) — lvportals.lv
- Ministerio de Transporte de Letonia, "Pabeigts CSDD kiberincidenta izvērtējums" (18 de septiembre de 2026) — lvportals.lv
- Radiodifusora pública letona LSM (en inglés): anuncio de la CSDD del 18 de agosto (1,2 millones, recibos desde 2008) — eng.lsm.lv / consejo provisional elegido (20 de agosto) — eng.lsm.lv
- DGFiP, "Vol de données suite à des accès illégitimes au système d'information de la DGFiP" (14 de agosto de 2026, actualizado el 14 de septiembre) — impots.gouv.fr / preguntas frecuentes para particulares (24 de agosto de 2026) — impots.gouv.fr (PDF) / preguntas frecuentes para empresas — impots.gouv.fr (PDF) / "Fuites de données : comment réagir ?" — impots.gouv.fr (PDF)
- Ministerio francés de Economía y Finanzas, comunicado n.º 953, "Accès illégitimes au système d'information de la Direction générale des Finances publiques" (14 de agosto de 2026) — presse.economie.gouv.fr
- DGFiP, "FAQ : Réussir l'authentification en deux étapes" — impots.gouv.fr (PDF)
- CNIL, "Le droit d'accès : connaître les données qu'un organisme détient sur vous" — cnil.fr
- Informes de prensa (contenido del aviso del DMDC y cifras dadas por un funcionario del Pentágono): Military Times (24 de septiembre de 2026) — militarytimes.com / Federal News Network — federalnewsnetwork.com / Stars and Stripes (29 de septiembre de 2026) — stripes.com
- Federal Trade Commission, "What To Know About Credit Freezes and Fraud Alerts" — consumer.ftc.gov / "How To Avoid a Government Impersonation Scam" — consumer.ftc.gov
- Internal Revenue Service, "Get an identity protection PIN" — irs.gov
- US Department of Justice, Office of Privacy and Civil Liberties, "Privacy Act of 1974" — justice.gov
- Japón, Ley de Protección de la Información Personal (artículo 76, derecho a solicitar la divulgación) — e-Gov (en japonés)
Historial de actualizaciones
2026-09-30: Primera publicación. Basado en el aviso del IDHS, los anuncios de la CSDD y del Ministerio de Transporte de Letonia, el aviso y las preguntas frecuentes de la DGFiP y el comunicado del ministerio de Finanzas francés, informes de prensa sobre el aviso del DMDC y las cifras de un funcionario del Pentágono, y orientaciones públicas de la FTC, el IRS, la CNIL y el Departamento de Justicia de EE. UU. Actualizaremos si las agencias publican más información, como una página oficial de aviso del DMDC.
Lea a continuación
- El mismo patrón en Japón: El e-Tax de Japón mostró las declaraciones del impuesto sobre donaciones de otras personas (79 contribuyentes)
- Otro caso gubernamental: Medicaid de DC (datos ocultos en informes publicados)
- Una filtración en un sitio gubernamental francés: La filtración de France Titres (ANTS) y los mensajes falsos de ANTS
- Un fallo en un registro del Reino Unido: El fallo de WebFiling de Companies House y qué deben hacer los directores
- Un caso del Gobierno japonés: La filtración de la Agencia Digital de Japón y cómo proteger las VPN
- Agentes de IA que llegan a sitios gubernamentales: Casos de acceso no autorizado por agentes de IA (2026)
- La lista de verificación de una página para EE. UU. (bloqueo de crédito, IP PIN): La filtración de DentaQuest y qué deben hacer los miembros
- Términos: ¿Qué es el phishing? / ¿Qué es el RGPD?
- Otros incidentes de 2026: Lista de filtraciones y ciberataques (Japón y en todo el mundo)