Brecha de datos en la red de clientes de Loblaw en 2026

Loblaw abrió una investigación tras detectar actividad sospechosa en su red y determinó que un tercero con fines delictivos había accedido a información de clientes. El comunicado de la empresa no se limita a señalar que podría haberse producido un acceso, sino que afirma que se accedió efectivamente a datos básicos de los clientes. Por tanto, se trata de una brecha confirmada de datos personales, no solo de un intento de ataque o de una vulnerabilidad.

BleepingComputer informó de forma independiente sobre el comunicado de la empresa y comparó los campos afectados con los sistemas y datos expresamente excluidos. En el momento de la publicación, ningún actor de amenazas había reivindicado el incidente y no se habían encontrado anuncios de datos de Loblaw en foros clandestinos. Las cifras de personas afectadas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente.

Loblaw identificó los nombres, los números de teléfono y las direcciones de correo electrónico como los campos cuya afectación se había confirmado. Incluso sin contraseñas, estos datos pueden hacer más convincentes los mensajes de phishing que se hacen pasar por comunicaciones de una tienda, una cuenta de fidelización o un canal de atención al cliente. Las categorías de datos de esta ficha se limitan a los campos básicos de contacto que la empresa señaló.

El comunicado no indicó que los tres campos se hubieran visto afectados para cada cliente ni que todas las cuentas de todas las marcas de Loblaw estuvieran afectadas. La expresión “cierta información básica de los clientes” admite variaciones entre registros.

Loblaw afirmó que, en esa fase, su investigación no había encontrado pruebas de que se hubiera comprometido información financiera, como datos de tarjetas de crédito, información de salud o contraseñas de cuentas. Su marca de servicios financieros PC Financial tampoco se vio afectada. Estos límites evitan ampliar indebidamente el alcance del incidente en un gran grupo minorista que incluye farmacias y servicios financieros.

La expresión “no se encontraron pruebas” describe la conclusión de la investigación en esa fecha y puede actualizarse si surgen nuevos hallazgos. La recomendación de cambiar una contraseña es una medida preventiva de seguridad de la cuenta, no una confirmación de que se hayan robado contraseñas.

El comunicado de Loblaw no publicó una cifra de clientes, un total de registros ni un desglose por marca. La red de tiendas de la empresa en Canadá, su plantilla y el número total de miembros de servicios como PC Optimum no permiten determinar cuántas personas tenían información a la que se accedió. La organización no publicó un total verificable de personas o registros afectados. Que no se haya revelado esa cifra no significa que el incidente no tuviera consecuencias; significa que las fuentes públicas no ofrecen un total fiable.

Las marcas afectadas y el total de personas podrán añadirse si los publica Loblaw, una autoridad canadiense de protección de la privacidad o una investigación concluida y fiable. Tampoco debe suponerse que el número de registros equivale al de personas, ya que un mismo cliente puede figurar en varias marcas o campos de contacto.

Loblaw afirmó que limitó el incidente a una parte no crítica de la red y cerró automáticamente las sesiones de todos los clientes como medida de precaución. Los usuarios tuvieron que volver a iniciar sesión en los servicios digitales. Aunque la empresa no encontró pruebas de que se hubieran visto afectados datos financieros, datos de salud o contraseñas, aconsejó a los clientes que permanecieran atentos a las comunicaciones sospechosas.

Los clientes deben abrir la aplicación oficial o acceder a una dirección web conocida, en lugar de hacer clic en enlaces de correos electrónicos o mensajes de texto inesperados que afirmen representar a Loblaw, Loblaws, PC Optimum u otra marca del grupo. Si se reutiliza una contraseña, debe sustituirse por una exclusiva, y debe activarse la autenticación multifactor siempre que el servicio correspondiente la ofrezca.

La fecha del incidente se basa en la primera actividad técnica que puede verificarse a partir de fuentes públicas. La ficha describe un acceso no autorizado que se produjo efectivamente en una parte acotada de la red; no afirma que se comprometieran toda la infraestructura de Loblaw, todas sus tiendas o todas sus marcas afiliadas.

El alcance confirmado comprende los nombres, los números de teléfono y las direcciones de correo electrónico de algunos clientes. Los hallazgos hasta ese momento no incluían información financiera, datos de salud, contraseñas ni sistemas de PC Financial, mientras que el total de personas afectadas sigue siendo desconocido. LeakData recoge la calificación de “de bajo nivel” utilizada por la empresa, sin minimizar el riesgo de phishing que genera la exposición de información de contacto. Si aparece un mensaje sospechoso o se registra un evento sospechoso en una cuenta, debe verificarse a través del canal oficial de contacto vigente de la organización, sin utilizar los enlaces del mensaje.