Brechas de datos y ciberataques de enero de 2026: resumen

Enero de 2026 fue un mes de personas, no de exploits. A los incidentes principales (Match Group, Bumble y Crunchbase) no se llegó rompiendo servidores, sino llamando al personal y convenciéndolo para que entregara sus credenciales de inicio de sesión único. Junto a esa ola de ingeniería social llegó una serie de grandes comunicaciones de brechas cuyas intrusiones ocurrieron en realidad en 2025, un volcado de 149 millones de credenciales reunidas por malware y un nuevo conjunto de vulnerabilidades explotadas activamente. Este es nuestro resumen con fuentes, con un estado de verificación y una gravedad subjetiva claramente señalada en cada caso.

Cómo leer este resumen (nota de método)

Cada caso lleva un estado (Confirmado: la organización lo reconoció; Reivindicado (sin verificar): una afirmación del actor de amenazas que no pudimos verificar de forma independiente; o Informado: basado en información de investigadores o de medios de seguridad) y una gravedad editorial sobre diez: una lectura subjetiva de PlayCISO sobre cuánto debería importarle a un responsable de seguridad, según la escala, la sensibilidad y lo accionable que sea la corrección. No es CVSS, ni EPSS, ni ningún estándar reconocido, y nunca debe usarse por sí sola para priorizar parches. Para las vulnerabilidades, remítete al CVSS del fabricante y al catálogo Known Exploited Vulnerabilities de CISA; para las brechas, a tu propia clasificación de datos y a tu exposición regulatoria. Nuestro estimador del coste de una brecha y la explicación sobre qué determina el coste de una brecha de datos son mejor base para tus propias cifras que cualquier titular.

La ola de ingeniería social de ShinyHunters

Crunchbase. La empresa de inteligencia de negocio confirmó el 26 de enero que un actor de amenazas exfiltró documentos de su red corporativa, y subrayó que sus operaciones no se vieron afectadas. ShinyHunters reivindicó más de 2 millones de registros y publicó un archivo después de que se rechazara una exigencia de extorsión; según la información publicada, un análisis de terceros del material publicado encontró datos personales. Estado: Confirmado (brecha); la cifra de 2 millones de registros es Reivindicada (sin verificar). Gravedad editorial: 6/10. Lección: los repositorios de documentos corporativos son un objetivo por sí mismos; trata SharePoint, Google Drive y Slack como sistemas críticos, no como trastienda.

Match Group. El operador de aplicaciones de citas confirmó hacia el 28 de enero un incidente de ciberseguridad que afectaba a «una cantidad limitada de datos de usuarios», y dijo no tener pruebas de que se hubieran sustraído credenciales de inicio de sesión, información financiera ni comunicaciones privadas. ShinyHunters reivindicó unos 10 millones de registros; Match no verificó esa cifra. La información publicada atribuye el acceso a phishing por voz contra el SSO de Okta. Estado: Confirmado (incidente); escala Reivindicada (sin verificar). Gravedad editorial: 6/10. Lección: haz que los flujos del servicio de asistencia y del proveedor de identidad resistan el vishing: verificación por devolución de llamada, coincidencia de números y ningún restablecimiento de credenciales ni de MFA solo por una petición telefónica.

Bumble. Bumble dijo que una cuenta de un contratista con privilegios limitados fue comprometida en un incidente de phishing y usada para un breve acceso no autorizado, y que su base de datos de miembros, las cuentas de usuario, la aplicación y los mensajes privados no se vieron afectados. ShinyHunters reivindicó unos 30 GB de archivos de Google Drive y Slack. Estado: Confirmado (incidente limitado); el botín de datos es Reivindicado (sin verificar). Gravedad editorial: 4/10. Lección: acota estrechamente las identidades de contratistas y terceros: una evaluación de proveedores (nuestro cuadro de mando de riesgo de proveedores es un punto de partida) debe preguntar a qué puede llegar de verdad una sola cuenta de contratista comprometida.

Grandes brechas comunicadas este mes (con intrusiones sobre todo de 2025)

Covenant Health. El proveedor sanitario de Massachusetts empezó a notificar hacia Año Nuevo a 478.188 pacientes que un ataque de ransomware había expuesto nombres, fechas de nacimiento, direcciones, números de la Seguridad Social, datos del seguro médico e información de tratamientos. El grupo Qilin reivindicó el ataque. Atención a la cronología: la intrusión data de mayo de 2025; el alcance revisado y las notificaciones llegaron a finales de 2025 y en enero de 2026. Estado: Confirmado. Gravedad editorial: 8/10. Lección: el alcance de una brecha crece de forma habitual meses después de la detección; presupuesta la respuesta y la notificación para una cifra mucho mayor de la que sugiere el primer recuento.

CIRO (Canadian Investment Regulatory Organization). El regulador canadiense del sector de inversión confirmó que unos 750.000 inversores se vieron afectados por una brecha originada por phishing, con datos expuestos que podrían incluir fechas de nacimiento, números del seguro social (SIN), números de documentos de identidad oficiales y datos de cuentas de inversión. El incidente se detectó en agosto de 2025; las cartas de notificación empezaron a enviarse el 14 de enero de 2026, tras más de 9.000 horas de análisis forense. Estado: Confirmado. Gravedad editorial: 7/10. Lección: un regulador que guarda datos personales financieros en bloque es un objetivo de gran valor; minimiza lo que conservas y sepáralo de los buzones a los que llega el phishing.

Under Armour. Un conjunto de datos de unos 72 millones de direcciones de correo, más algunos nombres, fechas de nacimiento y direcciones, se añadió a Have I Been Pwned como brecha no confirmada después de aparecer en un foro de hacking el 21 y 22 de enero; la información publicada lo vincula con el grupo Everest y con un incidente de finales de 2025. Under Armour dijo que estaba investigando y que no tenía pruebas de que UA.com, los sistemas de pago o las contraseñas almacenadas se hubieran visto afectados. Estado: Informado / Reivindicado (sin verificar: HIBP lo marcó como no confirmado; la empresa investiga). Gravedad editorial: 5/10. Lección: las exposiciones de solo direcciones de correo siguen alimentando el phishing dirigido; avisa a los clientes de forma proactiva en lugar de esperar a un veredicto confirmado.

Departamentos de Servicios Humanos de Illinois y Minnesota. Dos agencias estatales de servicios sociales de EE. UU. comunicaron exposiciones (un sistema mal configurado en Illinois y un acceso interno excesivo en Minnesota) que afectan a cerca de 1 millón de personas en total, incluidos datos de prestaciones. Estado: Confirmado. Gravedad editorial: 7/10. Lección: los errores de configuración y el acceso interno demasiado amplio causan tanto daño como las intrusiones; esto es fuga de datos, y una revisión continua de la postura lo detecta donde una auditoría anual no llega.

Exposición de credenciales a gran escala

Base de datos de 149 millones de credenciales. El investigador Jeremiah Fowler informó el 23 de enero de que había encontrado una base de datos accesible públicamente y sin cifrar con unos 149 millones de pares únicos de usuario y contraseña: unos 96 GB que abarcan cuentas de correo, redes sociales, finanzas y citas, incluidas decenas de millones de credenciales de Gmail y Facebook y algunos inicios de sesión gubernamentales. Los datos parecen haberse reunido mediante malware infostealer y no en una sola brecha nueva. Estado: Confirmado (exposición encontrada y notificada; retirada después). Gravedad editorial: 7/10. Lección: los logs de infostealers hacen letal la reutilización de credenciales; exige MFA resistente al phishing y passkeys para que una contraseña robada no sea un inicio de sesión.

BreachForums. En un giro notable, el propio foro de ciberdelincuencia sufrió una brecha que expuso los datos de cuenta de unos 324.000 usuarios. Estado: Confirmado. Gravedad editorial: 3/10. Lección: ningún sistema está exento; quienes gestionan los mercados de brechas usan el mismo software sin parchear que todos los demás.

Reivindicado y sin verificar

Nike. El grupo WorldLeaks afirmó haber robado y publicado unos 1,4 TB de datos internos; Nike dijo que estaba investigando. No encontramos ninguna confirmación de la empresa sobre el volumen ni el contenido. Estado: Reivindicado (sin verificar). Gravedad editorial: 4/10 (pendiente de confirmación). Lección: trata las reivindicaciones de los sitios de extorsión como pistas que verificar, no como hechos; contrástalas con tus propios logs antes de actuar sobre el inventario de un atacante.

Brightspeed. Crimson Collective reivindicó datos de más de 1 millón de clientes; Brightspeed reconoció un suceso de ciberseguridad a principios de enero, pero no confirmó las cifras del atacante. Estado: Confirmado (suceso); escala Reivindicada (sin verificar). Gravedad editorial: 5/10. Lección: reconoce el suceso pronto y por separado de las cifras del atacante; mezclar ambas cosas le entrega el relato al extorsionador.

Vulnerabilidades explotadas activamente (incorporaciones al KEV de CISA)

CISA añadió este mes fallos explotados activamente a su catálogo Known Exploited Vulnerabilities en dos ocasiones, con plazos de corrección para las agencias federales.

• CVE-2025-68645: Synacor Zimbra Collaboration Suite (CVSS 8,8, inclusión remota de archivos PHP). Un atacante sin autenticar puede incluir archivos arbitrarios a través del endpoint /h/rest. Se corrigió en noviembre de 2025; CrowdSec observó su explotación activa desde el 14 de enero de 2026. Se añadió al KEV el 22 de enero. Estado: Explotación confirmada. Gravedad editorial: 8/10.
• CVE-2025-34026: Versa Concerto (CVSS 9,2, bypass de autenticación que da acceso a endpoints de administración) y CVE-2025-31125: Vite (CVSS 5,3, control de acceso indebido que expone el contenido de archivos), ambos añadidos al KEV el 22 de enero. Estado: Confirmado en el KEV.
• CVE-2025-54313: eslint-config-prettier (CVSS 7,5, código malicioso incrustado procedente del compromiso de la cadena de suministro de npm de julio de 2025 que distribuyó el infostealer «Scavenger Loader»), añadido el 22 de enero. Estado: Confirmado. Gravedad editorial: 7/10.
• Incorporaciones del 7 de enero: CVE-2009-0556 (Microsoft Office PowerPoint) y CVE-2025-37164 (HPE OneView), ambas añadidas por pruebas de explotación activa. Estado: Confirmado en el KEV.

Lección: el catálogo KEV, y no un titular de gravedad, es el desencadenante adecuado de los parches de emergencia. Este mes aparecieron el correo expuesto a internet, la orquestación SD-WAN y las dependencias de la cadena de compilación; cuáles tendrías que parchear primero para un activo dado es exactamente lo que hace explícito un modelo de amenazas.

Cadena de suministro: consecuencias que llegan a enero

Trust Wallet / Shai-Hulud 2.0. Un gusano de npm autorreplicante que se propagó por cientos de paquetes se usó para robar los secretos de GitHub de Trust Wallet y su clave de la Chrome Web Store, y después publicar una extensión de navegador troyanizada que vaciaba carteras. El suceso en sí fue a finales de diciembre de 2025 (versión maliciosa el 24 de diciembre; comunicado el 25 de diciembre), con unos 8,5 millones de dólares sustraídos de 2.520 direcciones de cartera; los reembolsos y la gestión de reclamaciones continuaron durante enero de 2026. Estado: Confirmado (un suceso de diciembre de 2025 con consecuencias en enero). Gravedad editorial: 7/10. Lección: una clave de publicación robada convierte tu propio canal de versiones en el ataque; protege los secretos de CI/CD y las credenciales de las tiendas de extensiones tanto como producción, y superpón controles para que una sola clave robada no sea el fin de la partida (consulta la defensa en profundidad).

Sobre el «ahora la IA es la que hackea»

Es de esperar que las brechas de las aplicaciones de citas de enero se describan como impulsadas por IA. Los hechos documentados apuntan en la otra dirección: la ola de ShinyHunters fue phishing por voz ejecutado por personas contra servicios de asistencia y proveedores de identidad, ingeniería social de toda la vida bien ejecutada, no una intrusión autónoma de IA. Las herramientas generativas abaratan en los márgenes los señuelos convincentes y la suplantación de voz, y conviene planificar para ello, pero no encontramos pruebas en fuentes primarias de que un agente de IA ejecutara de forma independiente ninguna de las grandes brechas de enero. Señalamos la distinción en lugar de inflarla. Nuestras API de seguridad cubren el lado de la detección; la amenaza de este mes fue una llamada telefónica, y el control que la habría detenido era un paso de verificación en el servicio de asistencia.

El hilo conductor

Enero de 2026 premia los controles poco vistosos: MFA resistente al phishing, una verificación en el servicio de asistencia que no se pueda sortear con palabras, mínimo privilegio para contratistas y terceros, un control estricto de los secretos de publicación y de CI/CD, y una actuación rápida sobre el catálogo KEV. Para el contexto de la serie, consulta nuestro resumen de octubre de 2026.

Preguntas frecuentes

¿Cuáles fueron los mayores ciberataques de enero de 2026? La ola de ShinyHunters contra Match Group, Bumble y Crunchbase (incidentes confirmados, volúmenes discutidos, con acceso mediante phishing por voz contra el SSO), más grandes comunicaciones de brechas de intrusiones de 2025 (Covenant Health, 478.188 pacientes; CIRO, unos 750.000 inversores; y una supuesta exposición de Under Armour, unos 72 millones de correos) y una base de datos encontrada por un investigador con unos 149 millones de credenciales recogidas por infostealers.

¿Se confirmó la brecha de Match Group y Bumble? Ambas confirmaron incidentes a finales de enero, pero discutieron las cifras de los atacantes. Match dijo que solo se vio afectada «una cantidad limitada de datos de usuarios», sin pruebas de robo de credenciales, datos financieros ni mensajes; Bumble dijo que una cuenta de contratista con privilegios limitados sufrió phishing y que su base de datos de miembros no se tocó. Los incidentes están confirmados; los volúmenes de datos de los titulares son reivindicaciones sin verificar.

¿Qué vulnerabilidades se estaban explotando activamente? CISA añadió CVE-2025-68645 (RFI en Zimbra, explotada desde el 14 de enero), CVE-2025-34026 (Versa Concerto), CVE-2025-31125 (Vite) y CVE-2025-54313 (eslint-config-prettier) a su catálogo KEV el 22 de enero, y CVE-2009-0556 (Office) y CVE-2025-37164 (HPE OneView) el 7 de enero.

¿Cómo se calcula la puntuación de gravedad? Es una lectura editorial subjetiva de PlayCISO sobre diez, no CVSS ni EPSS. Usa el CVSS del fabricante y el catálogo KEV de CISA para los parches y tu propia clasificación de datos para el riesgo de brecha; trata nuestro número solo como una señal relativa rápida.

¿Está PlayCISO afiliado a las organizaciones mencionadas? No. PlayCISO es independiente y no está afiliado a ninguna de las organizaciones mencionadas. Es un resumen de sucesos comunicados públicamente, ofrecido como información general, con varios casos marcados explícitamente como reivindicaciones sin verificar de actores de amenazas.