Filtración de datos de Figure de 2026

Los tipos de datos confirmados en esta filtración son el nombre completo, la dirección de correo electrónico, el número de teléfono, el domicilio y la fecha de nacimiento. Por separado, estos campos pueden no representar un riesgo de acceso a la cuenta tan directo como una contraseña; sin embargo, en conjunto, permiten crear un perfil sólido para vincular identidades y realizar ataques dirigidos de ingeniería social. La dirección de correo electrónico puede utilizarse indebidamente para contactar con el usuario; el número de teléfono, para llamadas o campañas por SMS; y el domicilio, para dar la impresión de que existe una relación real con el cliente. La fecha de nacimiento también puede ayudar a adivinar las respuestas a preguntas de verificación de identidad como las que se usan en los centros de atención telefónica.

En el incidente de Figure, dado que no se verificó la presencia de campos de contraseña o tarjeta de pago, el riesgo principal se centra más en la autenticación, las llamadas de asistencia falsas y la manipulación de decisiones financieras que en la toma de control de cuentas. Los atacantes pueden contactar con una persona con el pretexto de una solicitud de crédito, una revisión de cuenta, un plan de pagos, una verificación de identidad o una actualización de documentos. Alguien que conoce el nombre, el domicilio y el número de teléfono del usuario puede hacerse pasar por un representante real de la empresa. Por tanto, el incidente exige mucha cautela, aunque no haya información que permita acceder directamente a las cuentas financieras.

La cifra de direcciones de correo electrónico únicas verificadas en este registro es de 967 178. El incidente ocurrió el 28 de enero de 2026, mientras que los registros se hicieron públicos en febrero de 2026. Los datos están asociados a la plataforma Figure, y la empresa ha reconocido que el acceso se obtuvo mediante ingeniería social. Esta distinción es importante porque el riesgo observado para el usuario no solo está relacionado con una vulnerabilidad técnica, sino también con la posible manipulación de los procesos internos de acceso.

Los campos verificados en este registro se limitan a datos personales de contacto e identidad. Entre las categorías de datos verificadas no figuran contraseñas, valores hash de contraseñas, datos de tarjetas de pago, cuentas bancarias, informes crediticios, puntuaciones crediticias, documentos oficiales de identidad, fondos de clientes ni saldos de transacciones. Los usuarios deben actuar teniendo presente este límite: no hay motivo para alarmarse como si se hubieran incluido los campos ausentes, pero no debe olvidarse que la combinación de nombre, domicilio, número de teléfono y fecha de nacimiento puede ser un potente recurso de persuasión en intentos de fraude financiero.

El grupo de mayor riesgo está formado por personas que han interactuado a través de Figure con servicios de crédito, financiación, productos financieros relacionados con la vivienda o servicios financieros digitales. Incluso quienes solo han utilizado la plataforma para obtener información pueden haber compartido su correo electrónico, su número de teléfono y su domicilio. Además, las personas que buscan activamente servicios financieros pueden responder con más rapidez a mensajes sobre falsas aprobaciones de crédito, seguridad de la cuenta, documentos pendientes, cambios en los tipos de interés o actualizaciones de planes de pago.

Para los usuarios cuyo número de teléfono y fecha de nacimiento figuran en los datos, el riesgo va más allá de los mensajes habituales de phishing que llegan a la bandeja de entrada del correo electrónico. Los contactos mediante llamadas de voz, mensajes de texto y aplicaciones de mensajería pueden resultar más convincentes. Quienes utilizan el mismo número de teléfono para cuentas bancarias, de tarjetas de crédito, inversiones, criptomonedas, seguros y servicios de administración electrónica deben extremar las precauciones. La inclusión del domicilio también facilita que los atacantes elaboren situaciones acordes con la zona donde vive el usuario o con su historial de entregas.

Si tiene una cuenta asociada a Figure, revise primero su historial de inicios de sesión y su configuración de seguridad. Aunque en este registro no se haya verificado la presencia de contraseñas, debe activar la autenticación de dos factores en las cuentas financieras que utilicen la misma dirección de correo electrónico. Como su cuenta de correo sirve de punto central para restablecer las contraseñas de los servicios financieros, es fundamental protegerla con una contraseña segura y única. Si detecta un dispositivo desconocido, una notificación inesperada de restablecimiento de contraseña o una solicitud que no ha realizado, contacte directamente con el canal oficial de asistencia de la entidad correspondiente.

No tramite mediante los enlaces facilitados las solicitudes de crédito, verificación de cuenta, actualización de documentos, planes de pago o comprobaciones de seguridad que reciba por teléfono o correo electrónico. En lugar de hacer clic en el enlace del mensaje, inicie sesión escribiendo usted mismo el dominio de la entidad en el navegador o utilice la aplicación oficial registrada. Aunque la persona que llama conozca su nombre, su domicilio o su fecha de nacimiento, eso por sí solo no demuestra que sea de confianza. Toda solicitud de operaciones financieras, fotografías para acreditar la identidad, códigos de un solo uso, contraseñas o pagos debe verificarse por un canal independiente.

El incidente muestra que la ingeniería social en los servicios financieros puede dirigirse tanto a los usuarios como a los empleados. Para protegerse a largo plazo, los usuarios deben adoptar como prácticas básicas el uso de una contraseña única y una autenticación de dos factores robusta en cada cuenta financiera, así como la revisión periódica de las sesiones. Dado que las direcciones de correo electrónico y los números de teléfono suelen mantenerse durante años, una vez publicada esta información, puede reutilizarse repetidamente en distintas campañas. Por ello, las comunicaciones sospechosas deben tomarse en serio no solo durante el período en que ocurrió el incidente, sino también en los años posteriores.

En el ámbito empresarial, las compañías de tecnología financiera deben limitar el acceso de los empleados según el principio de mínimo privilegio, supervisar en tiempo real los accesos inusuales a los datos y utilizar pasos de verificación adicionales frente a los intentos de ingeniería social. La protección de los datos de los clientes forma parte de la relación de confianza financiera; por tanto, se espera un alto nivel de protección para campos como el nombre, el domicilio, el número de teléfono y la fecha de nacimiento, aunque no contengan directamente información de pago. Para reducir el riesgo, es importante comunicarse con transparencia después de un incidente, indicar claramente su alcance y ofrecer a los clientes medidas de seguridad concretas que puedan aplicar.

Si su dirección de correo electrónico aparece en este registro, revise sus interacciones anteriores con Figure o con servicios financieros relacionados. Si tiene una cuenta, revise su configuración de seguridad, active la autenticación de dos factores y refuerce la protección de su cuenta de correo electrónico. Active las notificaciones en las plataformas financieras que utiliza con el mismo número de teléfono y correo electrónico. Si recibe una solicitud de crédito, un cambio de domicilio, una petición de documentos o un mensaje sobre la seguridad de la cuenta que no esperaba, utilice los canales oficiales de la entidad en lugar de los enlaces del mensaje.

Una filtración de datos conlleva riesgos para la identidad en el ámbito financiero, aunque los campos de datos verificados sean limitados. La ausencia de contraseñas o tarjetas de pago marca un límite importante para el usuario; sin embargo, la combinación de nombre, domicilio, número de teléfono y fecha de nacimiento puede ayudar a los atacantes a preparar conversaciones convincentes. Lo más adecuado es utilizar mecanismos de verificación robustos en todas las cuentas financieras, no compartir nunca códigos de un solo uso con nadie, detenerse ante las solicitudes urgentes y verificarlas por un canal independiente, y tener presente que la información personal puede reutilizarse con el tiempo en distintos intentos de fraude.