Filtración de Datos: Qué Es, Cómo Ocurre y Cómo Evitarla

Una filtración de datos ocurre cuando información que debería ser privada —nombres, correos electrónicos, contraseñas, datos bancarios— cae en manos equivocadas. En 2026, esto dejó de ser una excepción: entre septiembre de 2025 y enero de 2026, se reportaron en promedio 47 filtraciones por mes en el mundo, desde gigantes de la salud hasta plataformas de streaming. Esta guía explica qué es, cómo ocurre y cómo protegerse.

TL;DR

• Una filtración de datos es cualquier acceso o exposición no autorizada de información confidencial —por ataque, error o descuido.
• El costo medio global en 2025 fue de 4,44 millones de USD por incidente (informe de IBM).
• En Brasil, la LGPD exige notificar a la ANPD y a los titulares en un plazo de 72 horas.
• La IA cambió el juego: acelera la defensa, pero también alimenta ataques más convincentes.
• La mayoría de las filtraciones se pueden evitar con MFA, menor privilegio y un plan de respuesta probado.

¿Qué es una filtración de datos?

Una filtración de datos (en inglés, data breach) es cualquier evento en el que información confidencial es accedida, copiada, expuesta o divulgada sin autorización. Puede involucrar datos de clientes, empleados o de la propia operación interna de la empresa. El origen varía: un ataque a una aplicación web, un malware, la recolección (scraping) de datos mal protegidos o ingeniería social.

El punto central es la ruptura de la confidencialidad. No importa si el dato fue robado por un criminal o expuesto por un error de configuración —si quien no debía ver tuvo acceso, hubo filtración. Esta distinción es importante porque muchas empresas solo llaman "filtración" cuando hay un atacante involucrado, ignorando que una base de datos abierta por error en la nube es igualmente grave.

Filtración, incidente y ataque: las diferencias

Estos tres términos suelen tratarse como sinónimos, pero no lo son:

• Incidente de seguridad: cualquier evento que amenace la confidencialidad, integridad o disponibilidad de los datos. Es el término más amplio.
• Ataque: la acción ofensiva de un agente malicioso —ransomware, phishing, explotación de una falla.
• Filtración de datos: el resultado en el que los datos efectivamente salen del control de la organización.

No todo incidente se convierte en filtración, y no toda filtración comienza con un ataque sofisticado. Muchas nacen de un bucket de almacenamiento dejado público o de una credencial olvidada en un repositorio.

Qué tipos de datos se filtran con más frecuencia

No todos los datos tienen el mismo valor para un criminal. Los más buscados, por permitir fraude directo o chantaje, son:

• Datos de identificación: nombre completo, DNI, fecha de nacimiento —la base para abrir cuentas falsas a nombre de la víctima.
• Credenciales de acceso: correos electrónicos y contraseñas, especialmente cuando se reutilizan en varios servicios.
• Datos financieros: números de tarjeta, información bancaria e historial de transacciones.
• Datos de salud: historiales médicos y pruebas, entre los más sensibles y también los más caros en el mercado clandestino.
• Datos corporativos: contratos, propiedad intelectual e información estratégica.

Cuanto más sensible es el conjunto expuesto, mayor es el impacto legal y reputacional de la filtración —y mayor el interés de quienes revenden esta información en foros cerrados.

Cómo ocurre una filtración de datos

La mayoría de los casos no son fruto de un "hacker genial". Siguen patrones repetidos, y conocer estas puertas de entrada ya reduce buena parte del riesgo. Las causas más comunes son:

1. Credenciales robadas o débiles —contraseñas reutilizadas e inicios de sesión sin múltiple factor siguen siendo el vector número uno.
2. Phishing e ingeniería social —mensajes que engañan a empleados para que entreguen accesos o hagan clic en enlaces maliciosos.
3. Fallos en APIs y aplicaciones web —endpoints sin autenticación adecuada. Fue el caso de ServiceNow, en junio de 2026, cuando una API vulnerable permitió consultar datos de instancias de clientes.
4. Configuración incorrecta en la nube —bases de datos y buckets expuestos públicamente por error.
5. Ataques a la cadena de suministro —comprometer a un proveedor para alcanzar a cientos de víctimas de una vez, como en la ola de paquetes NPM infectados por el gusano Shai-Hulud.
6. Insiders —empleados o exempleados con acceso indebido, intencional o no.

Las amenazas que dominaron 2026

Grupos como ShinyHunters y el ransomware Qilin se especializaron en exfiltrar datos y cobrar rescate bajo amenaza de publicación. El modelo dejó de ser solo "bloquear el sistema" y pasó a ser "filtrar si no pagas" —la llamada doble extorsión. Filtrar credenciales de desarrolladores también se volvió rutina, como mostró el episodio en el que una extensión maliciosa de VS Code expuso 3.800 repositorios en GitHub.

El costo real de una filtración de datos

Según el informe Cost of a Data Breach 2025 de IBM, el costo medio global de una filtración de datos fue de 4,44 millones de USD —una caída del 9% respecto a los 4,88 millones de USD de 2024, la primera reducción en cinco años. El motivo principal fue la detección y contención más rápidas con apoyo de inteligencia artificial.

Factor	Impacto en el costo
Media global por incidente	4,44 millones de USD
Sector salud (el más alto)	7,42 millones de USD
Uso intensivo de IA en la defensa	ahorro de 1,9 millones de USD
Ataques con participación de IA	presentes en el 16% de los casos

Pero el dinero es solo una parte de la cuenta. Hay multas regulatorias, pérdida de confianza de los clientes, acciones legales y el costo invisible del tiempo del equipo —en promedio, se necesitan meses hasta la contención completa de un incidente grave. Para una pequeña o mediana empresa, una sola filtración puede significar la diferencia entre seguir operando o cerrar las puertas.

Estos números ayudan a dimensionar el problema, pero el impacto real para cada empresa depende de cuánto tiempo pase desapercibido el incidente. Cuanto antes se detecte, menor será la factura —y es precisamente ahí donde la monitorización continua y la automatización marcan una diferencia práctica en el resultado.

Filtraciones de datos en 2026: los casos que definieron el año

El año acumuló episodios de gran escala que muestran que el tamaño y el sector no protegen a nadie:

• Telus: el grupo ShinyHunters afirmó haber robado 700 TB de datos de la operadora canadiense.
• Under Armour: alrededor de 72 millones de cuentas expuestas.
• Kyushu Electric Power: datos de más de 10 millones de clientes afectados.
• Novo Nordisk: información de pacientes de ensayos clínicos copiada externamente sin autorización.
• TVING: la plataforma de streaming confirmó filtración de IDs, nombres, fechas de nacimiento, teléfonos, correos electrónicos y contraseñas.
• Match Group, Fiserv, Cushman & Wakefield y el registro nacional de cuentas bancarias de Francia también entraron en la lista.

Salud, energía, finanzas y entretenimiento fueron objetivo por igual. El mensaje es directo: ninguna operación está fuera del radar, y cuantos más datos sensibles guardes, más atractivo es el objetivo.

Qué exige la LGPD cuando hay una filtración

En Brasil, una filtración de datos personales activa la LGPD (Ley General de Protección de Datos) y la fiscalización de la ANPD (Autoridad Nacional de Protección de Datos). Conocer las obligaciones evita que un problema técnico se convierta también en un problema jurídico.

• Plazo de notificación: la interpretación consolidada exige comunicar a la ANPD y a los titulares afectados en un plazo máximo de 72 horas (3 días hábiles) desde el conocimiento del incidente. Las pequeñas empresas cualificadas tienen un plazo ampliado de 30 días.
• Deber de comunicar (Art. 48): omitir, retrasar o notificar de forma incompleta es, por sí mismo, una infracción —independientemente de la gravedad de la filtración.
• Contenido de la notificación: naturaleza de los datos, titulares involucrados, medidas técnicas adoptadas y riesgos para los afectados.
• Agenda regulatoria 2025–2026: la ANPD prevé nuevas normas sobre inteligencia artificial y datos biométricos. El cerco regulatorio se está cerrando.

Ignorar estos pasos es el error más caro que una empresa puede cometer después de un incidente: convierte un daño manejable en multa y crisis de imagen.

IA: la nueva arma de ambos lados de la filtración

La inteligencia artificial cambió la dinámica de la filtración de datos —para bien y para mal.

Del lado de la defensa, el informe de IBM muestra que las organizaciones que usan IA y automatización de forma intensiva ahorran, en promedio, 1,9 millones de USD por incidente, principalmente porque detectan y contienen el ataque mucho más rápido. Los sistemas de detección que aprenden patrones anómalos identifican un acceso sospechoso en minutos, no en semanas.

Del lado del ataque, la IA se ha convertido en una herramienta para los invasores: apareció en el 16% de las filtraciones analizadas, alimentando campañas de phishing más convincentes y deepfakes utilizados en fraudes. Y hay una advertencia que toda empresa que adopta IA debe escuchar: el 97% de los incidentes que involucran IA ocurrieron en organizaciones sin controles de acceso adecuados, y el 63% no tenía ninguna política de gobernanza de IA.

La lección es incómoda, pero necesaria: adoptar IA sin gobernanza no solo acelera la productividad, sino que crea una nueva superficie de ataque. Definir quién accede a qué modelos y a qué datos es tan importante como elegir la herramienta. Conectar un asistente de IA a bases internas sin registrar lo que puede leer es, en la práctica, abrir otra puerta para una futura filtración de datos —solo que esta vez desde dentro de casa.

Cómo prevenir una filtración de datos en tu empresa

No existe seguridad absoluta, pero la inmensa mayoría de las filtraciones se pueden evitar con higiene básica y disciplina:

1. Activa MFA (autenticación de múltiple factor) en todo. Por sí solo, elimina la mayoría de los ataques basados en credenciales robadas.
2. Aplica el principio del menor privilegio: cada persona accede solo a lo que necesita para su trabajo.
3. Usa cifrado de datos en reposo y en tránsito.
4. Actualiza y monitorea tus APIs: expón lo mínimo posible y autentica cada llamada.
5. Capacita al equipo contra el phishing de forma periódica, no una vez al año.
6. Mapea proveedores y exige buenas prácticas de seguridad en toda la cadena.
7. Ten un plan de respuesta a incidentes probado antes de necesitarlo.

Cabe destacar que la prevención no es un proyecto con fecha de finalización, sino un proceso continuo. Las herramientas cambian, los empleados entran y salen, y cada nueva integración abre una puerta que antes no existía. Revisar accesos cada trimestre, mantener copias de seguridad aisladas de la red principal y monitorear registros de forma activa cuesta mucho menos que contener una filtración de datos una vez que ya está en curso.

Los primeros pasos tras una filtración

Si ocurre lo peor, la velocidad y el orden de las acciones reducen el daño:

• Contén: aísla los sistemas afectados y revoca accesos comprometidos de inmediato.
• Investiga: descubre qué se filtró, cuándo y por qué vía.
• Notifica: comunica a la ANPD y a los titulares dentro del plazo legal.
• Comunica con transparencia: el silencio amplía el daño reputacional más que la propia falla.
• Corrige la causa raíz: trata lo que permitió el incidente para que no se repita.

Conclusión: los datos son responsabilidad, no solo un activo

Entender qué es una filtración de datos es el primer paso; tratarlo como una prioridad de negocio es lo que separa a las empresas resilientes de las que se convierten en titulares. En 2026, con la IA acelerando tanto los ataques como las defensas y la LGPD exigiendo respuestas en 72 horas, proteger los datos dejó de ser una tarea exclusiva del equipo de TI.

En Agathas Web, construimos aplicaciones e infraestructuras pensando en la seguridad desde el diseño. Si tu operación maneja datos sensibles, vale la pena revisar ahora los accesos, las APIs y el plan de respuesta —antes de que un incidente fuerce esta conversación en el peor momento posible.