Filtración de datos de CarGurus en 2026

Los tipos de datos confirmados son direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas y direcciones IP. También se informó de que los archivos contenían asociaciones de cuentas, información de precalificación para financiación, resultados de solicitudes e información contextual sobre cuentas de concesionarios y planes de servicio. La cifra de 12 461 887 corresponde a direcciones de correo electrónico únicas; no significa que todos los registros contuvieran los mismos campos ni que el total corresponda, uno a uno, al mismo número de personas. Los tipos de datos confirmados no incluyen contraseñas ni tarjetas de pago, pero pueden facilitar el phishing personalizado, las llamadas fraudulentas de asistencia y las estafas relacionadas con el proceso de compra o financiación de un vehículo. No debe darse por hecho que un campo encontrado en un archivo esté presente para todas las direcciones afectadas.

El actor vinculado al incidente afirmó que el acceso se produjo el 13 de febrero de 2026, mientras que el registro verificado utiliza el 14 de febrero de 2026 como fecha de la filtración. Los primeros informes mencionaban aproximadamente 1,7 millones de registros corporativos; un recuento posterior de los archivos publicados identificó 12 461 887 direcciones de correo electrónico únicas. La primera cifra era una afirmación inicial sobre registros corporativos y la segunda es un recuento de direcciones de correo electrónico sin duplicados, por lo que no deben usarse indistintamente. Según la secuencia descrita en los informes, hubo un intento de extorsión seguido de la publicación de los datos. CarGurus declaró que una investigación realizada con apoyo independiente había concluido que el incidente se había contenido y se había limitado a una base de datos interna de la empresa, mientras los servicios seguían operativos. También afirmó que no había pruebas de que se hubieran comprometido los flujos de datos de los concesionarios, las conexiones de integración, los sistemas de gestión de clientes de los concesionarios, los productos principales ni los servicios para consumidores. Esta evaluación no invalida el recuento verificado de direcciones de correo electrónico en los archivos publicados.

El riesgo más directo afecta a los consumidores que buscaron información sobre vehículos en CarGurus, crearon una cuenta, compartieron datos de contacto o utilizaron la precalificación para financiación. Los empleados de concesionarios y las personas vinculadas a cuentas de concesionarios también pueden ser objeto de ataques a través de sus correos electrónicos de trabajo, números de teléfono o información contextual sobre planes de servicio. Encontrar un correo electrónico en el conjunto de datos no demuestra que esa persona presentara una solicitud de financiación ni que su dirección quedara expuesta; los distintos archivos contenían campos diferentes. Cuando varios campos encajan entre sí, un atacante puede fingir que conoce las preferencias de vehículos de una persona, su relación con un concesionario, la fase de una solicitud o su región. Por ello, una solicitud fraudulenta de depósito, una falsa aprobación de préstamo, un enlace engañoso para cargar un documento de identidad o una llamada fraudulenta de verificación de cuenta pueden parecer creíbles. El riesgo debe evaluarse según el servicio utilizado y los canales de comunicación que puedan haber estado vinculados, no solo por la cifra total destacada.

Verifique por una vía independiente cualquier correo electrónico, mensaje de texto o llamada inesperados que afirmen proceder de CarGurus, un concesionario, una entidad de financiación o un vendedor de vehículos. Escriba la dirección web que conoce en lugar de seguir un enlace y utilice el número que figura en el sitio oficial, no el que le facilite quien llama. No abra archivos adjuntos inesperados, instale software de acceso remoto, revele códigos de un solo uso ni atienda solicitudes de pago urgentes sin confirmarlas antes por un segundo canal. Las contraseñas no figuran entre los tipos de datos confirmados, pero quienes hayan reutilizado la misma combinación de correo electrónico y contraseña deben crear una contraseña larga y única para cada cuenta y activar la autenticación multifactor. Si utilizó la precalificación para financiación, revise los informes crediticios, los avisos de apertura de nuevas cuentas y las alertas de cambio de dirección, y comunique directamente a la entidad financiera cualquier solicitud que no reconozca.

Los datos de contacto pueden generar un riesgo duradero de ingeniería social incluso sin una contraseña. Usar alias de correo electrónico distintos para buscar vehículos, gestionar la financiación y registrarse en otros servicios facilita detectar la suplantación de un servicio. Un gestor de contraseñas permite guardar credenciales únicas para cada cuenta y facilita la revisión de los métodos de recuperación. Si su operador de telefonía móvil lo ofrece, un bloqueo de portabilidad o un código de seguridad de la cuenta ayuda a impedir que alguien que conoce su número de teléfono intente transferirlo. No tome el conocimiento de una dirección, un número de teléfono o una fecha de nacimiento como una prueba sólida de identidad; utilice respuestas aleatorias a las preguntas de seguridad y guárdelas en un gestor de contraseñas, en lugar de usar respuestas verdaderas que puedan encontrarse en internet. Los concesionarios deben formar al personal para prevenir el phishing por correo electrónico y por voz, separar funciones en los procesos sensibles, revisar los permisos de acceso y generar alertas ante exportaciones o sesiones inusuales. Reducir los plazos de conservación y el número de campos opcionales disminuye el impacto de un futuro incidente. Los datos de contacto son difíciles de sustituir, por lo que pueden producirse intentos de engaño convincentes meses después.

Utilice la consulta de registros de esta página para comprobar si su dirección de correo electrónico está asociada a esta filtración. Una coincidencia no significa que todos los tipos de datos enumerados aparecieran en su registro ni demuestra que alguien accediera a su cuenta; significa que el identificador consultado coincidió con el conjunto de datos verificado. La ausencia de coincidencias no ofrece una garantía absoluta, ya que pueden aparecer más archivos y las diferencias de formato o de eliminación de duplicados pueden impedir que algunos registros coincidan. No envíe su dirección de correo electrónico completa a sitios no fiables, foros ni contactos que se comuniquen con usted sin que lo haya solicitado. Si aparece una coincidencia, haga una lista de los servicios en los que reutilizó ese correo electrónico, revise las sesiones activas y las opciones de recuperación, filtre los mensajes relacionados y comunique directamente a la organización correspondiente cualquier contacto inusual relacionado con financiación o concesionarios. Evalúe los mensajes por el dominio del remitente, el destino de los enlaces, la urgencia y la acción solicitada, no por el nombre del remitente que se muestra. Las comprobaciones periódicas, las contraseñas únicas, una autenticación multifactor robusta y la confirmación independiente de las solicitudes sensibles contribuyen conjuntamente a reducir el riesgo de phishing y fraude.