Una entrada de la brecha de datos de Crunchbase en Have I Been Pwned ha incluido 559.908 direcciones de correo electrónico en una base de datos pública consultable. Según el reportaje de TechNadu, los datos se añadieron al servicio de notificación de brechas el 14 de octubre de 2026, y las direcciones pertenecen en gran medida a clientes potenciales y contactos comerciales. El listado se produce tras un intento de extorsión de "pagar o filtrar" por parte del grupo ShinyHunters en enero de 2026.
Si alguna vez te has registrado en Crunchbase, has sido incluido en su canal de ventas o has intercambiado correos electrónicos con alguien que trabaja allí, merece la pena hacer una comprobación rápida.
Qué se filtró y cómo llegó ShinyHunters hasta aquí
Crunchbase es una empresa privada conocida por su base de datos de información sobre negocios y startups. Según el informe, las 559.908 direcciones de correo electrónico que ahora están en Have I Been Pwned (HIBP) pertenecen en su mayoría a clientes potenciales y contactos comerciales, no a cuentas de consumidores ordinarios. HIBP también enumera tipos de datos adicionales en su entrada sobre el incidente. El extracto que revisamos no detalla todos los campos, por lo que el propio listado de HIBP es el mejor lugar para ver exactamente qué se expuso.
La cronología importa. En enero de 2026, ShinyHunters atacó a Crunchbase con lo que el informe denomina un intento de extorsión de "pagar o filtrar". El grupo afirmó que los datos que supuestamente obtuvo ascendían a más de 2 millones de registros. El listado de octubre sugiere que la disputa terminó con los datos circulando, aunque el extracto del informe no detalla cómo ni dónde se publicaron.
Fíjate en la diferencia entre las cifras. Las 559.908 direcciones en HIBP no son lo mismo que la afirmación del grupo de más de 2 millones de registros. Los registros y las direcciones de correo electrónico únicas son cosas distintas, y el recuento de HIBP refleja lo que se cargó en su base de datos. Los grupos de extorsión a menudo hacen afirmaciones exageradas, así que trata las cifras como separadas hasta que surjan más detalles.
Este es un patrón conocido. Nuestra cobertura de cómo el grupo de ransomware Gentlemen listó reclamaciones contra MoneyGram, Deloitte y KFC muestra cómo se utilizan los plazos de rescate y las afirmaciones públicas como presión, y por qué la ausencia o presencia de muestras de datos importa a la hora de juzgar si una afirmación es real.
Cómo comprobar si tu correo electrónico está en Have I Been Pwned
La comprobación lleva menos de un minuto:
- Ve al sitio web de Have I Been Pwned e introduce tu dirección de correo electrónico en el cuadro de búsqueda.
- Revisa la lista de brechas que aparecen. Si Crunchbase está entre ellas, tu dirección estaba en los datos filtrados.
- Abre la entrada de Crunchbase para ver qué tipos de datos se expusieron junto a tu dirección.
- Repite la búsqueda para cada dirección que uses, especialmente las direcciones de trabajo y las más antiguas de empleos anteriores.
Un detalle que mucha gente pasa por alto: como esta filtración está compuesta en gran medida por contactos comerciales, es más probable que aparezca tu correo electrónico de trabajo que uno personal. Comprueba ambos. También puedes usar la función de notificación de HIBP para recibir alertas si tu dirección aparece en futuras brechas.
Un resultado limpio no es una garantía de seguridad. HIBP solo cubre las brechas que se han cargado en él, por lo que es una señal útil, no una auditoría completa de tu exposición.
Por qué los contactos comerciales expuestos se enfrentan a phishing dirigido
Una lista filtrada de contactos comerciales es valiosa para los atacantes por una razón específica: les dice quién trabaja dónde y quién podría ser un cliente potencial, comprador o responsable de decisiones. Ese contexto hace que las estafas sean más convincentes que el spam genérico.
Espera mensajes que hagan referencia a tu cargo, tu sector o una relación con un proveedor plausible. Un correo electrónico que parece provenir de un proveedor de datos, un cliente potencial o un contacto financiero tiene más probabilidades de ser abierto cuando el remitente parece conocer tu negocio. Los correos electrónicos que instan a "verificar tu cuenta", abrir una factura o trasladar una conversación a otro canal merecen una sospecha adicional.
El segundo riesgo es el relleno de credenciales. Si alguno de los datos expuestos incluye contraseñas, o si reutilizaste una contraseña de Crunchbase en otro lugar, los atacantes pueden probar la misma combinación de correo electrónico y contraseña en otros servicios. Las contraseñas reutilizadas convierten una sola brecha en muchas.
Los equipos de extorsión también están vinculados a un ecosistema criminal más amplio. La actividad reciente de las fuerzas del orden, como la incautación de plataformas de hacking y la transferencia de un sospechoso de ransomware a Alemania, muestra que la presión sobre este mundo está creciendo, pero los datos filtrados tienden a seguir circulando mucho después de que se desarticule el grupo original.
Qué significa esto para ti
Si tu dirección está en los datos de Crunchbase, tu correo electrónico por sí solo no es una catástrofe. El riesgo práctico es que te conviertas en un objetivo más fácil para mensajes convincentes y personalizados. Si gestionas un equipo, lo mismo se aplica a los colegas cuyas direcciones aparecen en la filtración, ya que los atacantes pueden hacerse pasar por ti para llegar a ellos.
Pasos a seguir si tu correo electrónico se vio expuesto
- Cambia tu contraseña de Crunchbase si tienes una cuenta, y cámbiala en cualquier otro lugar donde la hayas reutilizado.
- Usa un gestor de contraseñas para crear una contraseña única para cada servicio, de modo que una brecha no pueda desbloquear otra.
- Activa la autenticación multifactor, preferiblemente con una aplicación de autenticación o una clave de hardware en lugar de SMS.
- Verifica las solicitudes inesperadas por un canal alternativo. Si un correo electrónico pide un pago, credenciales o archivos sensibles, confírmalo a través de un número de teléfono o canal en el que ya confíes, no de uno proporcionado en el mensaje.
- Alerta a tu equipo de TI o seguridad si una dirección de trabajo se ve afectada, para que puedan vigilar los intentos de suplantación.
- Ten cuidado con los enlaces y archivos adjuntos en mensajes que hagan referencia a tu trabajo o empresa, incluso si el remitente parece familiar.
La conclusión
El listado de la brecha de datos de Crunchbase en Have I Been Pwned es un recordatorio de que un intento de extorsión puede terminar en una filtración pública meses después. Busca tus direcciones de correo electrónico personales y de trabajo en Have I Been Pwned hoy, y luego sigue los pasos de protección anteriores. Para más contexto sobre cómo se desarrollan las campañas de presión como esta, lee nuestra cobertura de las reclamaciones del ransomware Gentlemen enlazada anteriormente en este artículo.
