Supuesta base de datos de Condé Nast con 32,8 millones de registros de usuarios a la venta por 15.000 dólares

Un anuncio en un foro de ciberdelincuencia afirma ofrecer millones de registros inéditos

Una base de datos que supuestamente contiene 32.815.767 registros únicos de usuarios de Condé Nast se ofrece por 15.000 dólares en un foro de ciberdelincuencia en ruso. Según se informa, el anuncio apareció el 7 de septiembre de 2026.

El vendedor describe la base de datos como la colección completa asociada a la filtración de datos anterior de WIRED. Al parecer, incluye aproximadamente 30,5 millones de registros que no se habían difundido públicamente.

Los usuarios relacionados con Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair y otras publicaciones de Condé Nast podrían estar afectados. Condé Nast no ha confirmado públicamente la brecha, el anuncio del mercado ni la autenticidad de la base de datos completa.

Ransomnews examinó una muestra de 5.000 registros y comprobó que se comportaba como datos reales de cuentas de consumidores recopilados durante muchos años. Su evaluación se basó en la coherencia interna, la precisión geográfica y la información histórica de las cuentas, no en intentos de acceder a cuentas activas de Condé Nast.

El análisis respalda las afirmaciones del vendedor, pero no autentica de forma concluyente los 32,8 millones de registros. Tampoco permite determinar quién obtuvo originalmente la información.

Qué contiene supuestamente la base de datos anunciada

Según se afirma, todos los registros contienen una dirección de correo electrónico única. Los campos adicionales de identidad y contacto solo aparecen en subconjuntos de la colección:

• Supuestamente, el 31,6 % contiene nombre y apellidos.
• El 22,3 % incluye una dirección postal.
• El 17,5 % contiene información sobre el género.
• El 12,6 % incluye la fecha de nacimiento.
• El 2,9 % contiene un número de teléfono.

En el material examinado no se identificaron contraseñas, hashes de contraseñas, nombres de usuario ni datos de tarjetas de pago. Esto limita el riesgo inmediato de toma directa de cuentas, pero no hace que la información sea inofensiva.

El valor de la base de datos reside en la posibilidad de correlacionar los datos. Un delincuente podría filtrar los registros que contengan nombre completo, dirección y fecha de nacimiento, y combinar esos atributos con información procedente de otras brechas o de bases de datos comerciales. Incluso un perfil parcial puede hacer que un mensaje fraudulento resulte mucho más convincente.

El vendedor también anuncia una versión que excluye los registros de WIRED. Esa colección supuestamente contiene 30.455.594 entradas, lo que implica que aproximadamente 2,36 millones de registros están asociados a WIRED.

La cifra se parece mucho a los 2.366.576 registros de WIRED publicados en diciembre de 2025. Esta coincidencia numérica vincula el nuevo anuncio con el incidente anterior, aunque no demuestra que el vendedor del mercado sea el atacante original.

Entre los posibles escenarios se encuentran una venta directa por parte del intruso, la reventa a través de un intermediario o la redistribución por alguien que obtuvo los datos después de la intrusión inicial.

Las pruebas realizadas con la muestra respaldan su autenticidad, pero no la confirman

El examen de Ransomnews constató que las tasas de cumplimentación de los campos en la muestra de 5.000 registros se situaban a menos de 1,2 puntos porcentuales de las anunciadas por el vendedor.

Las relaciones entre nombres y direcciones de correo electrónico también fueron significativas. Entre los registros que contenían nombres completos, el 61,9 % utilizaba una dirección de correo correspondiente al nombre o a las iniciales de la persona. Cuando los nombres se intercambiaban aleatoriamente entre los registros, esa tasa descendía al 0,3 %.

Esta marcada reducción sugiere que los nombres y las direcciones de correo electrónico estaban vinculados de forma orgánica, en lugar de haberse ensamblado al azar.

La muestra también superó varias comprobaciones temporales y geográficas. Ninguno de los 227 registros que utilizaban direcciones de Apple Relay, iCloud, Outlook, Me.com o Proton parecía anterior a los servicios de correo electrónico correspondientes. Entre los registros de Estados Unidos, el 96,4 % de los códigos ZIP coincidía con el estado indicado, mientras que el 93,5 % coincidía con la ciudad indicada.

Los datos contenían irregularidades habituales en bases de datos mantenidas durante largos periodos y alimentadas mediante formularios en línea. Entre ellas figuraban textos de marcador como «Select your state», valores numéricos de menús desplegables, etiquetas de países incoherentes, nombres en minúsculas y fechas de nacimiento fijadas en el 1 de enero.

Estos errores no demuestran la procedencia de los datos. Sin embargo, se parecen más a la estructura desordenada de las bases de datos reales de consumidores que a una lista fabricada de manera uniforme.

Las fechas de creación de las cuentas iban de febrero de 1999 al 23 de octubre de 2025. Los nuevos registros se volvieron mucho menos frecuentes a partir de septiembre de 2025, por lo que Ransomnews evaluó que la extracción pudo haberse realizado durante varias semanas entre septiembre y finales de octubre de 2025.

Este patrón es coherente con la secuencia de acontecimientos relacionada con el incidente anterior de WIRED. Los registros de WIRED publicados llegaban hasta septiembre de 2025; una persona que utilizaba el nombre «Lovely» contactó con DataBreaches.net en noviembre, y los datos relacionados con WIRED se publicaron en diciembre de 2025.

La nueva muestra también difería del material de WIRED expuesto anteriormente. Según se informa, presentaba otra estructura de campos, contenía nombres y direcciones postales con mayor frecuencia y mostraba patrones demográficos asociados a un grupo más amplio de publicaciones de Condé Nast.

El control de acceso defectuoso sigue siendo una posible vía de intrusión

El actor conocido como Lovely afirmó anteriormente haber robado más de 40 millones de registros de Condé Nast y amenazó con publicar información relacionada con otros títulos. Análisis técnicos anteriores determinaron que la descripción del atacante era compatible con una referencia directa insegura a objetos, o IDOR, y con otras deficiencias relacionadas con controles de acceso defectuosos.

Una vulnerabilidad IDOR se produce cuando una aplicación acepta un identificador controlado por el usuario —como el número de una cuenta, suscripción o cliente— y devuelve el objeto asociado sin verificar adecuadamente la autorización.

Por ejemplo, cambiar un identificador numérico en una solicitud de la aplicación podría exponer el registro de otro cliente si el servidor comprueba que el objeto existe, pero no confirma que el solicitante tiene permiso para acceder a él. Las solicitudes automatizadas pueden convertir esa exposición individual en una extracción a gran escala.

No hay confirmación de que IDOR provocara la supuesta intrusión más amplia en Condé Nast. No se ha divulgado ningún producto de software afectado, versión, endpoint o identificador CVE, y Condé Nast no ha emitido una explicación técnica pública.

Por consiguiente, no existe ningún parche instalable por el usuario ni una medida de mitigación específica asociada al incidente. Cualquier corrección de la supuesta vulnerabilidad de la aplicación tendría que realizarse dentro de los sistemas de Condé Nast, mediante comprobaciones de autorización en el servidor, supervisión de solicitudes e investigación del acceso a los registros de cuentas.

Según se informa, el nuevo vendedor opera a través de una cuenta del foro creada recientemente, con una reputación visible limitada, y ofrece un servicio de custodia. Este perfil podría reflejar un intento de conseguir un único comprador privado en lugar de llamar la atención mediante otra publicación pública.

A 15.000 dólares, el precio solicitado es inferior a una vigésima parte de un centavo por registro. Por tanto, una venta privada podría proporcionar a un comprador un gran conjunto de datos para cometer fraudes y, al mismo tiempo, dificultar la observación de su uso posterior.

El phishing y el fraude de suscripciones son los riesgos inmediatos

La ausencia de credenciales desplaza la amenaza desde el compromiso directo de contraseñas hacia la suplantación de identidad, la ingeniería social y el enriquecimiento de datos.

Los delincuentes podrían crear mensajes que mencionen el nombre y la dirección del destinatario, así como su relación real con una publicación concreta. Entre los pretextos más probables se encuentran:

• Renovaciones de suscripciones o avisos de vencimiento
• Pagos fallidos y solicitudes de pago
• Notificaciones de reembolsos
• Mensajes sobre entregas o verificación de direcciones
• Comunicaciones sobre suscripciones de regalo
• Solicitudes de verificación de cuentas

Un mensaje que mencione Vogue, GQ, The New Yorker, WIRED u otro título puede parecer creíble porque la relación subyacente es real. Por ello, el destinatario podría estar más dispuesto a abrir un enlace, proporcionar información de pago o introducir sus credenciales en un sitio web fraudulento.

Las direcciones postales aparecen en más de una quinta parte de los registros supuestamente expuestos, por lo que el uso indebido no se limita al correo electrónico. Los atacantes o los vendedores fraudulentos también podrían utilizar cartas físicas, mientras que los registros que contienen números de teléfono podrían servir para campañas de llamadas o SMS.

La base de datos también podría cruzarse con filtraciones antiguas de credenciales. Aunque, según se informa, esta colección no contiene contraseñas, los atributos de identidad pueden ayudar a los delincuentes a seleccionar objetivos, responder a preguntas de verificación débiles o personalizar páginas para robar credenciales.

La circulación privada complica la detección. La ausencia de una publicación completa y pública no significa que los registros ya no estén disponibles o no se estén utilizando.

Cómo deben responder los usuarios y las organizaciones

Las personas con cuentas o suscripciones de Condé Nast deben desconfiar de las solicitudes inesperadas de renovación, reembolso, pago, entrega o verificación. En lugar de seguir los enlaces incluidos en un mensaje, deben introducir directamente la dirección conocida del sitio web de la editorial y revisar allí la cuenta.

Las solicitudes de pago deben confirmarse utilizando información de contacto obtenida de forma independiente a través de la comunicación. La misma regla se aplica a las cartas físicas que mencionen una publicación o suscripción real.

Restablecer la contraseña no es la respuesta principal a los datos examinados, ya que no se encontraron contraseñas ni hashes de contraseñas. Aun así, los usuarios deben protegerse frente a la correlación con otras brechas utilizando contraseñas únicas, un gestor de contraseñas y autenticación multifactor cuando esté disponible.

Condé Nast y sus publicaciones deberían vigilar la suplantación de sus marcas, la actividad fraudulenta relacionada con suscripciones y las solicitudes inusuales al servicio de atención al cliente. Entre las prioridades de la investigación figuran determinar si los registros anunciados corresponden a cuentas activas y si es posible identificar extracciones de datos a gran escala en los registros históricos.

No procede hablar de versiones afectadas, ya que no se ha identificado ninguna versión vulnerable de software comercial. Tampoco se ha divulgado ningún CVE ni ninguna entrada del catálogo CISA Known Exploited Vulnerabilities asociada al supuesto incidente.

Hasta que Condé Nast proporcione una confirmación o una explicación técnica, la magnitud y la causa siguen sin estar verificadas. No obstante, el análisis de la muestra disponible indica que el anuncio merece atención, especialmente porque millones de registros podrían venderse de forma privada en lugar de quedar expuestos en un lugar donde los defensores puedan examinarlos.