Cal AI Presunta exposición de datos

En este registro destacan los datos de salud y comportamiento. Cuando los registros de comidas, los detalles de suscripciones, los códigos PIN, los objetivos físicos y la información de perfil aparecen juntos, permiten elaborar un perfil detallado del estilo de vida del usuario, sus objetivos de salud y sus hábitos de uso de la aplicación. Por este motivo, el registro está clasificado como datos sensibles.

En el registro no figuran campos de tarjetas de pago ni de contraseñas en texto claro; sin embargo, los códigos PIN, los datos de salud y actividad física y el historial de comidas son relevantes para la privacidad. Los usuarios no deberían centrarse únicamente en la seguridad de la cuenta, sino también en dónde podría utilizarse la información personal de salud y nutrición que introducen en la aplicación.

La fecha del incidente figura como el 9 de marzo de 2026. Las noticias sobre seguridad afirman que el incidente afecta a los datos de unos 3 millones de usuarios de Cal AI, y algunas fuentes mencionan una estructura abierta similar a Firebase y un sistema basado en un PIN de 4 dígitos. Sin embargo, no hay confirmación oficial del incidente ni una verificación plenamente independiente; por ello, el registro sigue sin verificarse.

Al describir el alcance, no se debe presentar el método de ataque ni el reconocimiento del incidente por parte de la organización como hechos definitivos. El texto actual explica las categorías de datos mencionadas en los informes y los posibles riesgos en el contexto de las aplicaciones de salud. La coincidencia debe tomarse en serio por el riesgo asociado a los datos sensibles, pero no se deben ocultar al usuario los límites de la verificación.

Entre los usuarios que podrían estar en riesgo se encuentran quienes hayan creado una cuenta de Cal AI o compartido registros de comidas, objetivos de actividad física, información de suscripciones o enlaces a perfiles sociales. Los datos de salud, peso, nutrición y hábitos diarios son relevantes para la privacidad personal.

Este tipo de datos puede utilizarse en mensajes de ingeniería social que simulen asesoramiento de salud, renovaciones de suscripciones, avisos de seguridad de aplicaciones, planes de dieta o comunicaciones similares a las de las aseguradoras. Si se ha reutilizado el código PIN, también podría existir un riesgo para otras aplicaciones.

Si se ha encontrado una coincidencia para usted, revise su cuenta de Cal AI y las demás aplicaciones en las que utilice el mismo PIN o patrón de contraseña. Revise la información sensible de salud, peso, comidas o suscripciones que haya introducido en la aplicación y verifique los mensajes sospechosos sobre suscripciones y pagos a través de la aplicación oficial.

En lugar de abrir directamente los enlaces que reciba, acceda al servicio correspondiente mediante su dirección web conocida o su aplicación oficial. Conocer el nombre, el correo electrónico, la dirección, el pedido o la información de perfil de quien llama no demuestra que esa persona sea de confianza. No comparta códigos de verificación de un solo uso, información de tarjetas de pago ni contraseñas de cuentas en ninguna conversación con soporte.

A largo plazo, adoptar el hábito de usar un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, así como eliminar de las cuentas la información personal innecesaria, reduce el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos procedentes de diferentes filtraciones; puede considerar el uso de una dirección de correo distinta o un alias para las cuentas críticas.

En las aplicaciones de salud y actividad física, evite rellenar campos de perfil innecesarios, limite las conexiones con redes sociales y almacene sus datos personales de salud únicamente en servicios con políticas de almacenamiento fiables. Los usuarios institucionales no deben transferir datos de salud de los empleados a aplicaciones de consumo.

La consulta en LeakData indica si la dirección de correo electrónico consultada está presente en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; sin embargo, constituye una advertencia suficiente para tomar medidas preventivas. Un resultado negativo solo indica que no hay coincidencia en este conjunto de datos y no descarta la posibilidad de aparecer en otras filtraciones.

Un resultado positivo indica una coincidencia que conlleva un riesgo relacionado con datos sensibles de salud y actividad física cuya exposición no está verificada. Un resultado negativo indica que no hay coincidencia en este registro; también debe comprobarse si la misma dirección de correo electrónico aparece en otras aplicaciones de salud o de IA.