BBVA enfrenta nuevas acusaciones de filtración tras la reaparición de datos de clientes en línea
Una presunta filtración de BBVA vuelve a sacudir México: datos de clientes aparecen a la venta en foros de hackers.
Una supuesta filtración de BBVA vuelve a acechar a México, con hackers que ofrecen a la venta datos de clientes.
Un conjunto de datos presuntamente vinculado a clientes mexicanos de BBVA ha aparecido en foros de hackers, reavivando las persistentes dudas sobre la seguridad de uno de los grupos bancarios más grandes del mundo.
Banco Bilbao Vizcaya Argentaria, más conocido como BBVA, ha evolucionado de ser un banco español a convertirse en una de las mayores potencias financieras de Europa, con activos totales que superan los 813.000 millones de euros y presencia en más de 25 países.
La entidad emplea a aproximadamente 127.000 personas y cuenta con más de 77 millones de clientes activos en todo el mundo.
¿Qué datos habrían robado los hackers de BBVA?
La publicación que apareció recientemente en un conocido foro de hackers incluye una pequeña muestra de 13 registros con información personal identificable.
¿Qué datos de BBVA habrían quedado expuestos?
- Nombres completos
- Números de teléfono
- Domicilios parciales
- Fechas de vencimiento de tarjetas
Aunque la muestra proporcionada es limitada, los investigadores de Cybernews señalan que su formato difiere del de filtraciones anteriores atribuidas a BBVA, lo que sugiere que podría no tratarse simplemente de datos reciclados de brechas antiguas.
Nuestros investigadores advierten que este tipo de información, en manos de atacantes, puede utilizarse para diseñar ataques de ingeniería social exitosos que comprometan las cuentas de los clientes del banco.
Por el momento, el origen y la autenticidad del conjunto de datos no han sido confirmados. Cybernews se ha puesto en contacto con BBVA para solicitar una declaración, pero aún no ha recibido respuesta.
¿Nueva filtración o datos reciclados de una brecha anterior?
BBVA ha aparecido repetidamente en foros clandestinos de ciberdelincuencia durante los últimos años, en particular en relación con supuestas brechas que afectan a BBVA México.
Uno de los incidentes más difundidos data de agosto de 2022, cuando actores maliciosos afirmaron estar vendiendo hasta 3 millones de registros de clientes de BBVA México en el foro Breached. Ese conjunto de datos supuestamente incluía:
- Nombres completos
- Registros Federal de Contribuyentes (RFC)
- Domicilios
- Números de cuenta
- Límites de crédito
BBVA negó las acusaciones en su momento.
Sin embargo, según los investigadores de Cybernews, el conjunto de datos recién descubierto no coincide del todo con la estructura de las filtraciones anteriores.
«En otros conjuntos de datos aparece el domicilio completo en lugar de uno parcial, y no hay información sobre detalles de tarjetas, mientras que este muestra fechas de vencimiento», explicaron nuestros investigadores.
Esa diferencia podría apuntar a una vulneración distinta o a una fuente de recopilación de datos completamente diferente.
¿Cómo podrían haber obtenido los atacantes los datos de los clientes del banco?
En este punto, resulta imposible determinar con certeza cómo se obtuvieron los datos de los clientes.
«Este tipo de información pudo haberse recopilado de diversas formas: ya sea mediante infostealers o a través de una base de datos comprometida», señalaron los investigadores de Cybernews.
Las campañas de malware tipo infostealer se han convertido en una fuente cada vez más importante de filtraciones de datos en empresas del sector financiero. Este tipo de software malicioso extrae credenciales, datos de autocompletar, información de pago y sesiones de navegador directamente desde los dispositivos infectados.
Los investigadores sospechan una campaña de ataques más amplia
Los investigadores de Cybernews creen que la última aparición podría estar relacionada con un patrón más amplio de ataques dirigidos a la infraestructura de BBVA o a sus clientes.
«Este nuevo anuncio podría estar vinculado a una campaña de ataques dirigida contra el banco BBVA. Es probable que la entidad sea un objetivo recurrente debido a carencias de seguridad en algún punto, ya sea por falta de formación de los empleados o de controles técnicos adecuados», indicaron nuestros investigadores.
El banco se ha convertido progresivamente en objetivo tanto de operaciones de robo de datos como de campañas de malware dirigidas a sus clientes.
Uno de esos vectores de ataque fue el troyano bancario para Android Revive, diseñado para suplantar la aplicación de autenticación de doble factor de BBVA y robar las credenciales de los clientes.
Según los investigadores de Cleafy, el malware era capaz de ejecutar ataques de phishing, registro de pulsaciones de teclas y toma de control de cuentas dirigidos a usuarios de BBVA.
Las denuncias de brecha de la «identidad financiera soberana»
Informes independientes publicados por Brinztech dibujan un panorama aún más preocupante. Según ese informe, un actor malicioso que opera bajo el alias «MAGO SPEAK» habría anunciado en abril de 2026 la vulneración y publicación de una extensa base de datos de clientes de BBVA en foros de hackers de alto nivel.
Los investigadores describieron la información expuesta como un «perfil financiero y civil completo» de los afectados. Los datos presuntamente filtrados incluirían:
- Nombres completos
- Domicilios completos
- Registros Federal de Contribuyentes (RFC)
- Información sobre líneas de crédito
- Datos de tarjetas de crédito
La inclusión de los RFC mexicanos eleva considerablemente la gravedad del asunto, ya que funcionan como el eje de la identidad financiera y civil de las personas. En su momento, el actor malicioso proporcionó enlaces de descarga directa junto con datos de contacto de Telegram para facilitar la distribución de los datos.
El banco también ha estado bajo escrutinio regulatorio por sus prácticas de protección de datos en 2024. En un caso relevante relacionado con el RGPD, la Agencia Española de Protección de Datos impuso a BBVA una multa de 5 millones de euros tras constatar que la entidad había tratado datos personales sin mecanismos de consentimiento adecuados.
Descubre más contenido exclusivo de Cybernews en YouTube.