Filtración de datos de SoundCloud: 29,8 millones
Confirmado: la filtración de datos de SoundCloud de diciembre fue mucho mayor de lo que parecía al principio. Los ciberdelincuentes se hicieron con casi 30 millones de cuentas, 29,8 millones para ser exactos. Ya no es un incidente menor, sino un golpe que afecta a casi una quinta parte de toda la audiencia del servicio. SoundCloud reconoció el ciberataque en diciembre de 2025, aunque no dio cifras concretas; ahora el panorama queda claro.
Los datos salieron a la luz gracias a Have I Been Pwned?, una base de datos internacional de direcciones de correo electrónico comprometidas. La gente la utiliza para comprobar si sus datos figuran entre los robados. Allí se añadieron casi 30 millones de cuentas de SoundCloud. Los responsables de la base explicaron que los atacantes accedieron a un panel de administración de un servicio auxiliar de SoundCloud y después vincularon información pública de los perfiles con direcciones de correo reales. Así consiguieron extraer unos 30 millones de direcciones de correo únicas, nombres, nombres de usuario, avatares, número de seguidores y de cuentas seguidas y, en algunos casos, incluso el país de residencia.
Después, los delincuentes intentaron chantajear a SoundCloud y, un mes más tarde, publicaron los datos robados en internet. Según los investigadores, detrás del ataque está ShinyHunters, uno de los grupos de ciberdelincuencia más conocidos, que hace tiempo dejó de dedicarse al ransomware y se centró exclusivamente en el robo de datos y la extorsión. En los últimos meses se ha atribuido ataques contra Panera Bread, Canva, Atlassian y otras empresas. Su método favorito son los ataques a través de Okta, un servicio de inicio de sesión único.
SoundCloud comunicó que todo ocurrió debido a una vulnerabilidad en uno de sus servicios auxiliares. Los atacantes consiguieron una lista de direcciones de correo y otra información que ya era visible en los perfiles públicos, pero que resulta mucho más valiosa para los delincuentes cuando se vincula con el correo electrónico. Usaron esa combinación para negociar con la empresa y, al no obtener lo que querían, la publicaron en abierto.
Es una historia desagradable, pero importante: demuestra lo vulnerables que son incluso los grandes servicios internacionales. A los usuarios solo les queda comprobar sus direcciones en los principales servicios de monitorización de filtraciones y recordar que hasta los datos públicos pueden formar parte de un ataque a gran escala si caen en las manos equivocadas.
PEREC.RU
El escándalo de la filtración de SoundCloud parece otro episodio de una serie que lleva demasiado tiempo en antena. Las declaraciones sobre la vulnerabilidad suenan lo bastante seguras como para disimular el desconcierto. 29,8 millones de cuentas han acabado en manos ajenas y nadie se ha sorprendido.
Todo sigue el guion de siempre. El servicio finge tener la situación bajo control, aunque los datos ya han terminado en Have I Been Pwned?. Los usuarios comprueban sus direcciones casi en piloto automático, como quien se lava los dientes. Y ShinyHunters interpreta el papel de los villanos que no ocultan sus métodos, pero aparecen puntualmente en los titulares.
Lo interesante es otra cosa: los datos eran públicos, pero al mezclarlos con una dirección de correo de pronto se convirtieron en un problema. Es como si alguien encontrara tu perfil público en una red social y le adjuntara el pasaporte. En teoría no hay nada nuevo, pero deja mal cuerpo.
SoundCloud explica que la filtración se produjo a través de un panel auxiliar. Una formulación modesta, como si se tratara de una ventana que se olvidaron de cerrar a tiempo y no de un acceso a 30 millones de perfiles. Y la mención al chantaje deja claro que la conversación fue desagradable, aunque breve.
La historia termina como siempre: los datos, filtrados; los responsables, identificados; y a los usuarios, el consejo de «mejorar la seguridad». Ritual cumplido. Cada cual ha interpretado su papel. Y todos vuelven a fingir que están sorprendidos.
