La seguridad informática no admite errores, y menos cuando hablamos de la directora de Inteligencia Nacional de Estados Unidos. Sin embargo, Tulsi Gabbard, encargada de velar por la ciberseguridad del país, ha sido protagonista de un escándalo tras descubrirse que empleó contraseñas inseguras y reutilizadas en sus cuentas personales durante años. Este incidente pone en evidencia los riesgos de las filtraciones de datos y la importancia de aplicar buenas prácticas de gestión de contraseñas.
Perfil de Tulsi Gabbard: de congresista a jefa de inteligencia
Tulsi Gabbard asumió el cargo de Directora de Inteligencia Nacional en febrero de 2025, con un salario anual de 199 700 dólares. Antes de este nombramiento, sirvió en el Congreso de EE. UU. entre 2013 y 2021, formando parte de comités clave:
-
Comité de las Fuerzas Armadas
-
Subcomité de Inteligencia y Operaciones Especiales
-
Comité de Asuntos Exteriores
Su trayectoria le otorgó acceso a información altamente sensible, tanto del Congreso como de agencias de seguridad, lo que hace aún más grave el hallazgo de contraseñas vulnerables.
Contraseñas reutilizadas y de baja complejidad
Según ha revelado la revista Wired, Gabbard utilizó durante años la misma clave en servicios críticos como Gmail, Dropbox, LinkedIn e incluso su sitio web personal. Aunque no eran tan obvias como “1234”, todas compartían la misma palabra raíz: shraddha.
Esta práctica va en contra de las recomendaciones básicas de seguridad informática, que exigen:
-
Contraseñas únicas para cada servicio.
-
Combinaciones complejas de letras mayúsculas, minúsculas, números y símbolos.
-
Actualizaciones periódicas para mitigar riesgos en caso de filtración.
Reutilizar una contraseña facilita enormemente el trabajo de los ciberdelincuentes: si vulneran un servicio, automáticamente obtienen acceso en cadena a todos los demás.
Origen de la filtración: “combolists” o listas combinadas
El problema no surgió por un ataque directo a las cuentas de Gabbard, sino por filtraciones históricas que se recopilaron en lo que se conoce como “combolists” o listas combinadas. Estas listas contienen millones de pares usuario–contraseña extraídos de múltiples brechas de seguridad y se comercializan en la dark web.
-
2017: Publicación de las primeras combolists que incluían cuentas asociadas al sitio web de Gabbard.
-
2019: Nueva lista combinada que añadió registros de su cuenta de Gmail.
-
2012–2019: Los mismos datos indicaron uso idéntico de contraseña en Dropbox y LinkedIn.
Estas recopilaciones se crean al unificar filtraciones de empresas, foros, redes sociales y plataformas diversas, multiplicando el efecto de cada brecha original.
Impacto en la seguridad nacional y reputacional
Que la máxima responsable de inteligencia reutilizara contraseñas fácilmente descifrables genera un daño reputacional y plantea interrogantes sobre la cultura de ciberseguridad en las más altas esferas del gobierno. Entre los riesgos reales se incluyen:
-
Acceso no autorizado a comunicaciones oficiales.
-
Fuga de información confidencial o clasificada.
-
Spear phishing dirigido aprovechando datos personales filtrados.
-
Pérdida de confianza ciudadana y vulnerabilidad ante adversarios extranjeros.
Aunque no hay evidencia de que estas cuentas personales contuvieran datos gubernamentales, el simple hecho de que un actor malicioso pudiera comprometer la correspondencia privada de Gabbard es preocupante.
Respuesta oficial y declaraciones de la portavoz
Ante las acusaciones, Olivia Coleman, portavoz de Tulsi Gabbard, afirmó a Wired:
“Las filtraciones de datos a las que se refiere ocurrieron hace casi 10 años, y las contraseñas han cambiado varias veces desde entonces”.
Sin embargo, la explicación no apaga el debate sobre la responsabilidad personal y la necesidad de políticas de rotación de contraseñas obligatoria incluso para altos cargos.
Lecciones y buenas prácticas de gestión de contraseñas
Este caso sirve como un recordatorio clave para organizaciones y usuarios:
-
Implementar gestores de contraseñas: facilitan la generación y el almacenamiento seguro de claves únicas.
-
Activar autenticación multifactor (MFA): añade una capa extra de protección más allá de la contraseña.
-
Revisar combolists: comprobar periódicamente si nuestras cuentas aparecen en bases de datos de contraseñas filtradas (e.g., Have I Been Pwned).
-
Formación continua: educar a empleados y directivos en ciberhigiene y riesgos de reutilización.
-
Políticas de rotación: obligar al cambio regular de contraseñas, sobre todo en perfiles de alto privilegio.
En conclusión, el escándalo de Tulsi Gabbard revela cómo incluso los máximos responsables de la seguridad nacional pueden caer en prácticas de ciberseguridad básicas. La clave para proteger la información sensible radica en adoptar herramientas adecuadas, educar a todos los niveles y aplicar medidas obligatorias de gestión de contraseñas. Solo así se podrá reducir el riesgo de filtraciones de datos y blindar nuestra privacidad y la de las instituciones más críticas.
Fuente: Genbeta
