Joven hacker accede sin autorización a sistemas de la Corte Suprema AmeriCorps y VA y difunde datos sensibles

Un joven de Tennessee se declaró culpable por acceder sin autorización a sistemas que deberían ser especialmente protegidos: el sistema electrónico de presentación de documentos de la Corte Suprema de Estados Unidos y cuentas pertenecientes a AmeriCorps y al Departamento de Asuntos de Veteranos (VA). La acusación, presentada por fiscales federales, describe intrusiones repetidas durante un periodo de meses y la divulgación pública de datos sensibles a través de una cuenta de Instagram.

Según los documentos judiciales, el acusado utilizó credenciales robadas para entrar en el sistema de presentación electrónica de la Corte Suprema en al menos una veintena de ocasiones entre agosto y octubre de 2023, llegando algunos días a iniciar sesión varias veces con las mismas cuentas comprometidas. La Fiscalía detalla estos accesos en la presentación disponible públicamente ante el tribunal; el expediente puede consultarse en el repositorio de documentos judiciales en línea aquí.

Lo que agrava la situación no fue solo la intrusión técnica, sino la exhibición de la información robada. El joven compartió capturas de pantalla y datos extraídos de las cuentas comprometidas en una cuenta de Instagram, publicando nombres de víctimas y detalles del sistema de la Corte. El Departamento de Justicia ofreció un resumen del caso y señaló expresamente esas publicaciones; su comunicado oficial está disponible en la web del Departamento de Justicia aquí.

Además de la Corte Suprema, la investigación apunta a accesos no autorizados a cuentas de AmeriCorps y al portal de historial de salud personal My HealtheVet del Departamento de Asuntos de Veteranos. En el caso de AmeriCorps, el intruso accedió a una cuenta varias veces y descargó información personal —nombre, fecha de nacimiento, direcciones, números de teléfono, estatus de ciudadanía, historial de servicio e incluso los últimos cuatro dígitos del número de la Seguridad Social— que luego también fueron difundidos en la misma cuenta de redes sociales. Para contextualizar, la organización AmeriCorps y sus portales se pueden consultar en su web oficial: americorps.gov.

En el caso del VA, el intruso utilizó credenciales robadas de un veterano del Cuerpo de Marines para acceder al portal My HealtheVet en varias ocasiones, obteniendo información clínica privada como medicamentos prescritos y otros datos íntimos de salud. El VA administra el mayor sistema integrado de atención sanitaria del país; su página oficial es va.gov, donde se explican los servicios y recursos para veteranos.

Legalmente, el acusado admitió su responsabilidad por un cargo federal de fraude informático, que en este caso figura como un delito menor con una pena máxima de un año de prisión y una multa que puede alcanzar los 100.000 dólares. Los documentos en los que consta la confesión formal también están archivados en el expediente público disponible en línea aquí.

Más allá de la sanción individual, este episodio plantea preguntas sobre la protección de sistemas críticos y la vulnerabilidad que suponen las credenciales comprometidas. Muchos accesos no autorizados no se producen por intrusiones sofisticadas a los servidores, sino por el uso de nombres de usuario y contraseñas que han sido filtradas o reutilizadas en distintos servicios. La fotografía pública de las filtraciones —la ostentación en redes sociales— añade un daño adicional porque expone el nombre y la intimidad de las víctimas, complica las investigaciones y multiplica el riesgo de fraude o extorsión.

Para quienes han sido afectados por filtraciones o por accesos a cuentas institucionales, las autoridades y expertos en seguridad recomiendan acciones concretas: notificar inmediatamente a la institución afectada (por ejemplo, AmeriCorps o el VA), cambiar contraseñas y activar la autenticación de dos factores cuando esté disponible, vigilar el informe de crédito y considerar congelarlo si hay indicios de uso fraudulento, y presentar denuncias ante las autoridades correspondientes. Recursos generales sobre robo de identidad y pasos prácticos pueden consultarse en páginas como la Comisión Federal de Comercio: FTC - Robo de identidad.

Desde una perspectiva más amplia, el caso subraya la necesidad de que entidades públicas y privadas refuercen medidas de prevención: monitoreo continuo de accesos, políticas estrictas de gestión de credenciales, uso generalizado de autenticación multifactor, detección temprana de comportamientos anómalos y programas de respuesta a incidentes que incluyan notificación rápida a las personas afectadas. El costo reputacional y humano de exposiciones como esta va más allá de una sanción penal: erosiona la confianza pública en instituciones clave y deja a ciudadanos en riesgo real.

En un mundo donde la información personal y judicial circula de forma digital, el equilibrio entre accesibilidad y seguridad sigue siendo frágil. Casos como este deberían servir de recordatorio: la seguridad no es solo un problema técnico, sino también una cuestión de responsabilidad y de cultura organizacional. Para instituciones y usuarios, la lección es clara: no bajar la guardia y exigir medidas que protejan no sólo sistemas, sino a las personas detrás de cada cuenta.