Filtración de datos de JCPenney en 2026

Informaciones de medios independientes fechadas el 15 de junio documentaron que un actor de amenazas había incluido en un sitio de extorsión a JCPenney y a algunas marcas asociadas agrupadas bajo Catalyst Brands y Authentic Brands Group. Informaciones posteriores, fechadas el 17 de junio, indicaron que el actor había publicado datos atribuidos a JCPenney. Estas informaciones recogen afirmaciones sobre datos de empleados, de identidad, de nóminas y fiscales, al tiempo que señalan expresamente que los medios no habían verificado de forma independiente la autenticidad del conjunto de datos completo y que no se disponía de confirmación por parte de la empresa.

El conjunto de datos externo, incorporado posteriormente a un registro verificado de la filtración, respalda la cifra exacta de direcciones de correo electrónico y los tipos de datos enumerados en la lista estructurada. Esta verificación no significa que la empresa haya confirmado el relato del ataque, el actor de amenazas o el método de acceso inicial. El 12 de junio debe interpretarse como la fecha del registro y de la inclusión en el listado del actor de amenazas; se desconoce la fecha exacta del acceso a la red.

La lista estructurada contiene ocho categorías: fechas de nacimiento, direcciones de correo electrónico, números de identificación emitidos por el gobierno, cargos laborales, nombres, números de teléfono, direcciones físicas y nombres de usuario. La descripción del registro externo también menciona números del Seguro Social, mientras que los medios independientes recogen afirmaciones sobre copias escaneadas de documentos de identidad y documentos de nóminas o fiscales. No debe darse por hecho que todos los campos estuvieran presentes en cada registro de correo electrónico.

No se han confirmado como categorías de la lista estructurada las contraseñas, las tarjetas de pago, las cuentas bancarias, los pedidos de clientes, el historial de compras ni los datos de programas de fidelización. Aunque el registro parece centrarse en los empleados, la cifra de 368 418 no es un recuento de empleados ni de personas y no debe extrapolarse a toda la base de clientes de JCPenney.

La información de inteligencia de amenazas de Google confirma una campaña de extorsión más amplia dirigida contra la infraestructura de Oracle PeopleSoft entre el 27 de mayo y el 9 de junio, en la que se explotó CVE-2026-35273 como vulnerabilidad de día cero. Ese informe no menciona a JCPenney. Por tanto, la afirmación de que los datos de JCPenney se obtuvieron a través de la vulnerabilidad de PeopleSoft se mantiene como posible contexto de la campaña, no como un método de acceso inicial verificado.

La cifra de 368 418 corresponde al número de direcciones de correo electrónico únicas del conjunto de datos externo verificado; no es un recuento de filas del conjunto de datos de origen, cuentas de empleados ni personas únicas. Al no haberse realizado una importación local, no se muestra como un total local. Una coincidencia tampoco demuestra que los ocho campos estuvieran presentes para la misma persona.

Quienes hayan recibido una notificación pueden supervisar sus informes crediticios, cuentas fiscales, movimientos de nómina y portales para exempleados, según los campos indicados en sus propias cartas. Los mensajes inesperados sobre recursos humanos, W-2, prestaciones o verificación de identidad deben confirmarse a través de un canal oficial independiente; no se deben proporcionar documentos de identidad ni códigos de un solo uso a través de un enlace sospechoso.