Deloitte aparece en el sitio de filtraciones de The Gentlemen

Una cuenta de monitoreo de la dark web informó que el grupo de extorsión conocido como «The Gentlemen» incluyó a Deloitte —la firma de las Big Four cuyos servicios incluyen auditoría, asesoría de riesgos y ciberseguridad— en su sitio de filtraciones de ransomware. La entrada traía un perfil genérico de la empresa y tres palabras que indican lo temprano que es todo: «Data info — soon» («información de los datos: pronto»).

Ese último detalle importa, así que seamos rigurosos. Que una banda de ransomware añada un nombre a su sitio de filtraciones es una afirmación, no una brecha confirmada. Vamos a separar lo que se sabe de lo que solo se alega y luego pasaremos a lo útil, se sostenga o no esta afirmación concreta: qué hacer al respecto.

Qué está confirmado

• Apareció una entrada. Según se informó el 11 de octubre de 2026, Deloitte fue nombrada en el sitio de filtraciones de The Gentlemen. La entrada reproducía una descripción estándar de la empresa y una cifra de ingresos citada en la tarjeta (74.500 millones de USD), seguida de «Data info — soon».
• No se han publicado datos ni pruebas junto a la entrada al momento de escribir esto. «Pronto» es una amenaza, no una evidencia.

Qué no está confirmado

• Que haya ocurrido una brecha. Deloitte no ha confirmado públicamente ningún incidente. Es habitual que un nombre aparezca en un sitio de filtraciones antes de cualquier compromiso verificable, y a veces en lugar de él.
• Qué se llevaron, si es que se llevaron algo. No se ha mostrado ninguna muestra, árbol de archivos ni conjunto de documentos.
• Qué Deloitte. Deloitte es una red global de firmas miembro legalmente independientes. Una entrada que dice «Deloitte» no indica de forma fiable qué firma miembro, entorno de cliente o sistema de un tercero (si lo hay) está implicado. La publicación de monitoreo llevaba una bandera del Reino Unido; incluso eso es una etiqueta en una publicación, no un alcance confirmado.
• Si la afirmación es siquiera original. A veces las entradas de estos sitios son datos antiguos reciclados, datos robados a un proveedor y atribuidos a la marca más grande, o simples exageraciones para generar presión y titulares.

¿Quiénes son The Gentlemen?

The Gentlemen son una operación de ransomware y extorsión de datos que apareció en 2025 y que gestiona un sitio de filtraciones para exponer a sus víctimas, según el modelo que hoy es estándar. Los detalles públicos verificados sobre el grupo siguen siendo escasos y cambiantes, así que trata lo que publican los rastreadores sobre sus herramientas, afiliados y número de víctimas como inteligencia en desarrollo, no como hechos establecidos. Lo relevante aquí no es la marca del grupo, sino el manual de actuación, que comparte todo el ecosistema.

Cómo funciona realmente que te «nombren» en un sitio de filtraciones

Los grupos de doble extorsión siguen una escalada predecible, y conocerla evita reaccionar de más o de menos ante una captura de pantalla:

1. Nombrar. Se publica a la víctima, a menudo con solo un perfil de empresa y un «próximamente». El objetivo es presionar y atraer atención, a veces antes de que la víctima haya confirmado nada internamente.
2. Prueba. Se publica una muestra de archivos o un listado de directorios para dar credibilidad a la afirmación.
3. Cuenta atrás. Aparecen un temporizador y una exigencia de rescate.
4. Publicar. Si no hay pago, los datos se publican o se subastan, o la entrada desaparece sin más, algo que ocurre más a menudo de lo que sugieren los titulares.

Esta afirmación está en la etapa uno. Justo la etapa en la que verificar con calma es mejor que reaccionar.

Por qué importa aunque no esté probado

Hay dos razones por las que una entrada así merece atención y no un encogimiento de hombros:

1. El radio de impacto del riesgo de terceros. Deloitte audita, asesora y, en muchos casos, opera la seguridad de un número muy grande de organizaciones. En cuanto su nombre aparece en un sitio de filtraciones, miles de clientes se hacen la misma pregunta: «¿esto nos afecta?». Si eres uno de ellos, la calidad de tu respuesta depende del trabajo que hiciste antes de hoy, no de lo rápido que leas un feed de la dark web.

2. La señal. Si una firma que vende aseguramiento y respuesta a incidentes puede aparecer nombrada, se acabó la cómoda suposición de que «exponer a víctimas les pasa a otras empresas menos maduras». Aparecer en la lista no prueba negligencia: los atacantes con suficientes recursos entran en lugares bien defendidos, y el modelo de extorsión hace que te puedan nombrar por una brecha en un proveedor del que nunca habías oído hablar. La pregunta no es si puedes garantizar que nunca pase, sino si has ensayado el día en que tu nombre esté en ese sitio.

Si eres cliente de Deloitte o formas parte de su cadena de suministro

• No actúes por una captura de pantalla. Contacta directamente con tu responsable de cuenta o de proyecto en Deloitte y pregúntale si conoce la afirmación y si tus datos o accesos están en el alcance. Espera un comunicado oficial en lugar de fiarte de republicaciones de segunda mano.
• Mapea tu exposición ahora. ¿Qué guarda Deloitte de tu organización: papeles de trabajo, datos financieros, datos personales, acceso a sistemas, VPN o conectividad remota? Saberlo hoy marca la diferencia entre una respuesta medida y una carrera desesperada si la afirmación llega a confirmarse.
• Desempolva el playbook de brechas de terceros. Quién decide, quién comunica, qué les dices a tus propios clientes y reguladores, y en qué plazos. Si eso solo vive en la cabeza de alguien, escríbelo antes de necesitarlo.
• Vigila, no amplifiques. Compartir una entrada sin verificar como si fuera un hecho causa su propio daño. Haz seguimiento y di claramente que no está confirmada.

La lección para cualquier líder de seguridad

Si quitas la marca, esta es la historia más corriente de la seguridad: una organización aparece en un sitio de filtraciones, internet la declara culpable antes de que llegue ninguna prueba y los únicos que mantienen la calma son quienes ya vivieron el escenario en un simulacro. La respuesta útil al (supuesto) mal día de otro es poner a prueba el tuyo: si mañana apareciera nuestro nombre con «data info — soon», ¿cómo sería la primera hora?

Ese es justo el músculo que PlayCISO está diseñado para entrenar. Nuestra Cyber War Room te pone al mando durante un incidente real de ransomware y extorsión y califica las decisiones que tomas contra reloj, incluidas las preguntas del consejo y de la prensa que siguen a una entrada en un sitio de filtraciones. Si lo que te preocupa es la exposición a terceros, el Readiness Scorecard te dice dónde estás en un par de minutos, y la calculadora de coste de brechas convierte «cuánto nos costaría» en una cifra que puedes llevar al consejo. Y si la transferencia del riesgo forma parte de tu respuesta, nuestra comparativa de aseguradoras cibernéticas explica en qué se diferencian Coalition, AIG, Chubb y At-Bay en la cobertura de ransomware y extorsión. Ensáyalo antes de que tu nombre esté en ese sitio.

Para el contexto completo y con fuentes de esta entrada —cómo se compara con la brecha de correo sin MFA que Deloitte confirmó en 2017 y con el incidente de RIBridges en Rhode Island, de 12 millones de USD, cada uno etiquetado según su nivel de verificación— consulta nuestro Deloitte Cyber Breach Index, parte del Consultancy Cyber Breach Index, que sigue a las firmas que venden ciberdefensa.

Las demás firmas de las Big Four tienen su propio historial: la brecha de datos de PwC confirmada en octubre de 2026 (un proveedor externo que alojaba registros de formación de empleados), la brecha de la plataforma fiscal de EY en 2026 y la afirmación de ransomware contra KPMG en 2026, que la firma negó.

Esta es una noticia en desarrollo basada en un informe de monitoreo de la dark web. Al momento de escribir, la entrada no está verificada, no se han publicado datos y Deloitte no ha confirmado ningún incidente. Actualizaremos este artículo a medida que surja información verificada y no presentaremos la afirmación como un hecho a menos que se demuestre.