Los peores hackeos y filtraciones de datos de 2026 hasta ahora, y qué revelan

Cada año produce su propio catálogo de desastres de seguridad, y 2026 ya ha entregado uno llamativo. La lista que mantiene TechCrunch de los peores hackeos y filtraciones del año abarca registros gubernamentales, infraestructura crítica e incluso un sistema de vigilancia policial; en conjunto, los incidentes trazan un cuadro claro de dónde fallan las defensas digitales y por qué.

Entre los de mayor calado hubo una gran filtración de datos gubernamentales vinculada al Departamento de Eficiencia Gubernamental de EE. UU., conocido como DOGE. Las filtraciones de registros en poder del Estado son especialmente dañinas porque los datos son sensibles, difíciles de cambiar y útiles para nuevos ataques. A diferencia de una contraseña filtrada, un registro de identidad filtrado no puede simplemente restablecerse.

La lista también incluye intrusiones en sistemas críticos de energía y agua, una categoría que alarma a los profesionales de la seguridad más que casi cualquier otra. Cuando los atacantes alcanzan los sistemas de control industrial que operan las redes eléctricas y el tratamiento del agua, lo que está en juego pasa de los datos robados a la seguridad física. Son las redes que mantienen las luces encendidas y los grifos abiertos, construidas para la fiabilidad mucho antes de que la ciberseguridad fuera una prioridad de diseño.

Quizá la entrada más llamativa sea el hackeo de un sistema de vigilancia del FBI. Cuando una herramienta creada para vigilar queda comprometida, la filtración conlleva una ironía particular y un riesgo real, pues puede exponer fuentes, métodos y a las personas que esos sistemas rastrean. Es un recordatorio de que ninguna organización, por muy centrada en la seguridad que esté, es inmune.

Lo que une a estos incidentes tan distintos es un conjunto de debilidades recurrentes más que técnicas exóticas y nuevas. Muchas grandes filtraciones aún empiezan con fallos familiares: credenciales robadas o reutilizadas, software sin parchear, almacenamiento en la nube mal configurado y phishing exitoso. Los atacantes suelen ser sofisticados, pero las puertas por las que entran son a menudo las que una higiene de seguridad básica habría cerrado.

Las credenciales robadas siguen siendo el punto de entrada más fiable. Una vez que un atacante tiene un usuario y una contraseña válidos, sobre todo sin autenticación multifactor, a menudo puede moverse por una red como un usuario legítimo, lo que dificulta mucho la detección. Por eso los equipos de seguridad tratan cada vez más la identidad, y no el perímetro de la red, como la verdadera primera línea.

Un segundo patrón es la cadena de suministro. Las organizaciones modernas dependen de redes de proveedores, contratistas y componentes de software, y una filtración en un proveedor puede propagarse a todos los que dependen de él. Los atacantes han aprendido que comprometer una sola herramienta muy usada puede ser más eficiente que atacar objetivos uno por uno, convirtiendo el software de confianza en un canal de distribución de intrusiones.

La dimensión del ransomware atraviesa muchos de estos episodios. Más allá de robar datos, los atacantes cifran cada vez más los sistemas y exigen pago, y ahora combinan ambos de forma rutinaria: exfiltrar archivos sensibles, cifrar la red y luego amenazar con publicar los datos si no se paga el rescate. Esa doble extorsión eleva el coste de cada incidente y el incentivo para pagar.

Para las organizaciones, las lecciones defensivas son poco vistosas pero constantes. Imponer la autenticación multifactor en todas partes, parchear con rapidez, segmentar las redes para que una sola filtración no pueda propagarse sin control, cifrar los datos sensibles en reposo y planificar bajo el supuesto de que los intrusos acabarán entrando. El objetivo es menos un muro perfecto que la resiliencia: limitar el daño cuando, no si, un ataque tiene éxito.

Para los individuos, las conclusiones de un año así son prácticas. Use un gestor de contraseñas y contraseñas únicas, active la autenticación multifactor, desconfíe de los mensajes inesperados que le piden hacer clic o iniciar sesión y asuma que parte de sus datos ya ha quedado expuesta en una filtración de la que nunca supo. La verdad incómoda que revelan estas listas es que la pregunta rara vez es si una organización será atacada, sino si está preparada para cuando lo sea.