On Oct. 28, 2026, the transparency nonprofit Distributed Denial of Secrets published “Icepick,” a searchable dataset of work details for 41,191 DHS employees and contractors — names, job titles, office addresses, emails and phone numbers. It spans DHS and seven component agencies: roughly 21,000 records are CBP, about 6,600–10,000 are ICE (about a third in Homeland Security Investigations), plus CISA, USCIS and others. Records date to Aug. 19, 2026. DHS filed takedown notices via security vendor ZeroFox, citing risk of harassment, stalking and physical harm; the search site went offline Thursday with a registrar hold, and Bluesky began blocking links to the dataset. Icelandic host FlokiNET said it would not remove the data.
A hacktivist group calling itself the “Department of Peace” says it pulled the records from DHS's Okta single sign-on system. Okta disputes this, saying it has no evidence its systems were compromised. The hackers framed the leak as retaliation and accountability, writing in a note: “They have our information, so it's only fair that we have theirs.” DDoSecrets co-founder Emma Best said the goal was to replace “anonymity with accountability,” and maintained the dataset contains no home addresses — only work contact details.
A large dataset called “Icepick” was published on Oct. 28, exposing work details of more than 41,000 DHS employees and contractors, including roughly 21,000 from Customs and Border Protection and about 6,600–10,000 from ICE (sources differ slightly on the exact ICE figure).
Sam Altman has repeatedly warned that AI can clone voices to enable fraud and impersonation; a circulating clip of him saying so is not evidence of a current bank hack. The post is a debunk, and its core point checks out.
DSi tienen una reservación en Xcaret, ojo con su teléfono.
S¿Qué pasó?
DUna cuenta en X llamada Cracker publicó que el sistema de ventas de los parques tuvo una brecha de seguridad.
DSegún esa cuenta, sacaron correos y celulares de unos 8,300 clientes.
STodavía no veo confirmación oficial de Grupo Xcaret, ¿eh? Es una afirmación en X.
DLa cuenta dice que la empresa lo confirmó y que ya están mandando mensajes falsos a los clientes.
SPues ojo: si les llega un mensaje sobre su reservación, no abran enlaces ni den datos de tarjeta.
SLlamen directamente a Xcaret y verifiquen.
DLa neta, si es cierto, el momento sería horrible — miles de familias con viajes ya pagados para el fin de semana largo.
SY así operan estas estafas: si los datos son reales, el estafador ya tendría el nombre y las fechas. El mensaje suena real.
DTe llega un WhatsApp que dice "actualiza tu reservación" con tu número de reserva. ¿Quién no lo abre?
SPor eso: cualquier mensaje no solicitado sobre una reservación, trátenlo como falso hasta verificar por teléfono.
DY hablando de fugas de datos — esta otra es enorme y sí está confirmada.
S¿La del Departamento de Seguridad Nacional de Estados Unidos?
DUn dataset llamado "Icepick" acaba de publicarse. Datos laborales de más de 41,000 empleados del DHS.
DNombres, cargos, correos de trabajo, direcciones de oficina.
SIncluye a más de 21,000 de la Patrulla Fronteriza y Aduanas, y entre 6,600 y 10,000 de ICE.
DY lo más raro: los hackers dicen que lo sacaron del sistema de Okta, el proveedor de inicio de sesión del gobierno. Okta dice que no, que sus sistemas están seguros.
SAlguien está mintiendo, o entraron por otra puerta. Los registros datan de agosto, así que no es información en vivo.
DVoy a decirlo: esto es irresponsable. Publicar contactos de agentes fronterizos y de inmigración.
DAlgunos de ellos hacen trabajo encubierto. Estás poniendo a personas reales en riesgo.
SPero espera — el grupo que lo publicó, Distributed Denial of Secrets, dice que solo es información de contacto laboral.
SSin domicilios, sin teléfonos personales. Es lo que viene en sus tarjetas de presentación.
DQué conveniente. Investigadores de seguridad ya advierten que esto sirve para suplantar a un supervisor por teléfono.
DO para mapear investigaciones sensibles. No es "información pública".
SY el argumento de los hackers es literal: "ellos tienen nuestra información, así que es justo que nosotros tengamos la suya".
SLo enmarcan como rendición de cuentas por la vigilancia masiva.
D¡Eso no es rendición de cuentas, es doxxing con pasos extra! No publicas correos de 41,000 personas porque estás enojado con una política.
SPero mi pregunta es: ¿dónde trazas la línea entre transparencia y doxxing? Son empleados públicos.
SSus correos de trabajo están en sitios del gobierno. La cofundadora del grupo dice que esto sirve para solicitudes de registros públicos.
D¡Ese es exactamente el problema! Una cosa es buscar a un empleado público para presentar una solicitud.
DOtra es publicar una base de datos con 41,000 personas. Eso es un arma en las manos equivocadas.
SNo digo que sea sin riesgo. El DHS ya presentó avisos de retiro, el sitio de búsqueda cayó, Bluesky bloqueó enlaces.
SPero sigo pensando en el principio: si ICE vigila a escala masiva, ¿deberían ser completamente anónimos quienes lo hacen?
D¡No! Pero hay diferencia entre rendición de cuentas y poner en peligro vidas. Agentes encubiertos.
DSu seguridad depende de que nadie sepa quiénes son. ¡Esta base puede quemar sus coberturas!
SLos datos no dicen "esta persona es encubierta". Son registros laborales, cargos, oficinas. Los riesgos que mencionan los investigadores son teóricos.
D¿Teóricos? Estamos a un mal actor de que alguien use esta lista para atacar a un agente fronterizo. No puedes des-publicar una base de datos.
SY no puedes des-hacer la vigilancia masiva. Ese es el debate real — y no creo que ningún lado esté limpio.
DTe concedo esto: la seguridad del gobierno falló en algún lado. Fuera Okta o un contratista.
D41,000 registros no deberían haber estado accesibles en un solo lugar.
SEn eso coincidimos. Y aquí está la parte para cada empresa que nos escucha: si al DHS le pasa esto, a tu startup le puede pasar.
DQué reconfortante.
SY hablando de estafas y suplantación — el ángulo de inteligencia artificial. La advertencia de Sam Altman está circulando otra vez.
D¿La del clonaje de voz?
SUn clip de Altman advirtiendo que la IA puede imitar tu voz para cometer fraude. El post de Mundo IA en X aclara: no es un hackeo bancario nuevo, es un video viejo.
DPero la advertencia sigue parada. Ya saben cómo funciona: te llega un audio de "tu mamá" diciendo que está en problemas y necesita dinero.
DExcepto que no es tu mamá.
STres segundos de audio. Eso necesitan algunas herramientas para clonar una voz. Piensen cuántas notas de voz han mandado por WhatsApp.
DEntonces la solución es... ¿nunca volver a hablar?
SO pongan una palabra clave con su familia. Si alguien llama pidiendo dinero, pregunten la palabra. Sin palabra, no hay dinero.
DEs triste que necesitemos palabra clave hasta con la familia.
SEs el precio de vivir con IA, y va a empeorar antes de mejorar.
DAhí está su día: si reservaron en Xcaret, verifiquen antes de hacer clic. Si su "mamá" llama pidiendo dinero, pregunten la palabra.
SY quizá no pongan 41,000 empleados en una sola base de datos.