En septiembre de 2026 se sumaron 7 filtraciones al catálogo público, con 42.6 millones de cuentas en total. Cuatro de ellas exponen datos que importan a una pequeña empresa: quién trabaja dónde, en qué puesto, cómo contactarlo y, en dos casos, los tickets de soporte que escribió. Ninguna de las siete incluye contraseñas. Solo una ocurrió de verdad en septiembre; cuatro son de agosto de 2026, una de agosto de 2024 y una de agosto de 2019.
Las filtraciones relevantes
LimeLeads, 17,838,396 cuentas, filtración del 1 de agosto de 2019. Expone correos electrónicos, empleadores, ubicaciones geográficas, puestos de trabajo y números de teléfono. LimeLeads era una base de datos de contactos comerciales B2B, así que esto es información de empresa por diseño: un directorio de quién trabaja dónde, en qué puesto y en qué línea directa. Después de siete años algunos datos estarán desactualizados, pero mucha gente conserva el mismo empleador y el mismo puesto durante años, y una lista así es justo lo que un delincuente necesita para llamar o escribir, por su nombre, a la persona que aprueba los pagos.
McKesson, 6,404,340 cuentas, filtración del 21 de agosto de 2026. Expone fechas de nacimiento, correos electrónicos, empleadores, géneros, nombres, datos personales de salud, números de teléfono y direcciones físicas. Los registros son de pacientes, empleados, contactos de profesionales de la salud y destinatarios de campañas de marketing. Datos de salud unidos a una identidad completa le dan a un delincuente material para mensajes convincentes que parecen de una farmacia, una aseguradora o una clínica, y para fraudes de identidad que se apoyan en la fecha de nacimiento y el domicilio.
Questel, 1,226,209 cuentas, filtración del 1 de agosto de 2026. Expone correos electrónicos, empleadores, puestos de trabajo, nombres, números de teléfono, direcciones físicas y tickets de soporte. Son sobre todo contactos de empresa sacados de oportunidades de venta, casos de soporte y marketing. Un ticket de soporte le dice a un delincuente qué pidió una persona, cuándo y cómo le respondió el proveedor: todo lo necesario para escribir un seguimiento que parezca del proveedor real retomando un caso viejo.
Medela, 423,947 cuentas, filtración del 7 de septiembre de 2026. Expone correos electrónicos, empleadores, puestos de trabajo, nombres, números de teléfono, direcciones físicas, tratamientos de cortesía y tickets de soporte. Los correos son en su mayoría de profesionales de la salud, empleados de Medela y contactos comerciales. La mezcla es la misma que en Questel, y el riesgo también: mensajes que citan un caso de soporte real y un puesto real, enviados a personas que tienen todos los motivos para esperar correo de ese proveedor.
Las otras tres son servicios de consumo. Manchester Airports Group (8,849,657 cuentas, 27 de agosto de 2026) expuso nombres, teléfonos, direcciones IP, compras y matrículas de vehículos de reservas de estacionamiento y salas VIP. Chess.com (4,653,212 cuentas, 3 de agosto de 2026) es una recopilación de nombres de usuario, nombres y países, y el 99% de sus correos ya estaba en filtraciones anteriores. Burger King Russia (3,155,792 cuentas, 25 de agosto de 2024) expuso nombres, fechas de nacimiento, géneros y teléfonos, pero no datos de pago.
Qué dicen los tipos de datos este mes
Los correos electrónicos aparecen en las 7 filtraciones, y los nombres y teléfonos en 6 cada uno. Los empleadores aparecen en 4 y los puestos de trabajo en 3, mucho para un solo mes: esta vez casi todo el volumen es de personas en su trabajo, no de compradores. Tres de las cuatro relevantes, McKesson, Questel y Medela, fueron extorsiones de «paga o publicamos» del mismo grupo, ShinyHunters, y en los tres casos lo que salió fueron los contactos de la empresa: clientes, prospectos, socios y las personas que abrieron casos de soporte.
Esa es la lección para una pequeña empresa. No hace falta que te hackeen a ti para aparecer en una filtración. Si eres cliente o prospecto de un proveedor al que le copian el sistema de ventas o de soporte, tu nombre, tu puesto, tu línea directa y las consultas que le mandaste quedan en manos de otros. Que este mes no haya contraseñas no lo vuelve un mes tranquilo: el riesgo pasa de los inicios de sesión a las conversaciones.
Qué hacer este mes
- Acuerda con tu equipo que cualquier pedido de cambiar datos bancarios, adelantar un pago o compartir información interna se confirma por un número o canal que ya tienen, nunca respondiendo al mensaje que lo pidió.
- Trata como posible estafa cualquier mensaje que retome un caso de soporte viejo o cite un ticket real con un proveedor, hasta confirmarlo por el portal o el teléfono de siempre de ese proveedor.
- Explica a quienes atienden el teléfono que alguien que conoce su nombre, su puesto y su línea directa no ha demostrado nada. Solo LimeLeads unió empleador, puesto y teléfono a 17.8 millones de correos.
- Si tu empresa usa la fecha de nacimiento o el domicilio para confirmar quién llama, agrega un paso que no esté en ninguna filtración, como devolver la llamada al número registrado.
Para saber si tu propia dirección está en alguna de ellas, compruébala en ¿Me filtraron? Es gratis, y puedes pedir que te avisemos por correo la próxima vez que aparezca en una filtración nueva.
Datos de Have I Been Pwned al 1 de octubre de 2026 | Informe redactado con ayuda de IA y verificado contra los datos de la fuente
Relacionados
- ¿Me filtraron? Comprueba una dirección y recibe avisos
- Directorio de filtraciones
- Informe de ransomware de septiembre de 2026