Filtración de datos de Mytheresa de 2026

Los tipos de datos verificados en los registros de Mytheresa son direcciones de correo electrónico, nombres, números de teléfono, direcciones postales, información de compras, tratamientos de cortesía y datos parciales de tarjetas de pago. Dado que no se incluyen contraseñas, este incidente no debe presentarse como una vulneración directa de estas. La principal fuente de riesgo es la exposición conjunta de la identidad del cliente y del contexto de sus compras. El nombre, el número de teléfono, la dirección y el historial de compras facilitan que un atacante cree mensajes falsos que parezcan comunicaciones legítimas de atención al cliente.

Los datos parciales de una tarjeta pueden no bastar por sí solos para efectuar un pago; sin embargo, datos como el tipo de tarjeta, los últimos cuatro dígitos y la fecha de caducidad pueden utilizarse para generar confianza mediante técnicas de ingeniería social. El atacante puede contactar con el cliente con el pretexto de un pedido antiguo, una devolución, un retraso en la entrega, un cargo aduanero o una renovación de tarjeta. En el contexto de las compras de moda de lujo, esto también puede servir de base para intentos de fraude más dirigidos, relacionados con pedidos de alto valor, clientes VIP, entregas de regalos o ventajas de membresía.

El alcance verificado de este registro es de 84 108 direcciones de correo electrónico únicas. En otras fuentes relacionadas también figuran 84 370 filas de información; sin embargo, esta cifra no se ha incorporado al recuento principal de usuarios afectados. El número de filas puede aumentar debido a la existencia de varios registros de compra para un mismo cliente, información de direcciones repetida o la combinación de distintos segmentos de tablas. Por ello, la cifra principal que se muestra al usuario sigue siendo el número de correos electrónicos únicos.

Las categorías de datos se limitan a una lista verificada: direcciones de correo electrónico, nombres, datos parciales de tarjetas, números de teléfono, direcciones postales, información de compras y tratamientos de cortesía. No deben añadirse a este registro contraseñas, números completos de tarjeta, cuentas bancarias, documentos de identidad, pasaportes, mensajes privados ni claves de sesión de cuentas. El incidente es una filtración de datos de clientes; no deben mostrarse al usuario afirmaciones no verificadas sobre el método de acceso al sistema, el tiempo que el atacante permaneció en los sistemas internos o si todos los campos de datos internos se vieron afectados.

El primer grupo en riesgo lo forman los clientes que tienen una cuenta de Mytheresa o utilizan la misma dirección de correo electrónico para comprar en la marca. Cuando los datos de estas personas pueden vincularse con su nombre, teléfono, dirección e historial de compras, quedan más expuestas a mensajes falsos de seguimiento de pedidos, aprobación de devoluciones o verificación de pagos. El contexto de las compras de productos de lujo puede ayudar al atacante a hacer que el mensaje resulte más personal y convincente.

El segundo grupo está formado por personas que utilizan el mismo número de teléfono para servicios bancarios, billeteras electrónicas, entregas, transporte de mercancías y otras compras. La exposición conjunta del número de teléfono y la dirección puede hacer más creíble el pretexto de una llamada falsa de una empresa de transporte o de una verificación de entrega. El tercer grupo está formado por empleados que abren cuentas personales de compras con sus direcciones de correo electrónico corporativas. Esa vinculación no implica acceso al sistema de la empresa; sin embargo, un atacante puede utilizar el nombre del empleado y el contexto de sus compras para enviar mensajes más dirigidos.

Si sus datos aparecen en el registro de Mytheresa, revise con atención los mensajes relacionados con devoluciones, entregas, pagos, aduanas, suscripciones o atención al cliente, especialmente los que reciba por correo electrónico y por teléfono. En lugar de iniciar sesión mediante el enlace del mensaje, acceda a la dirección conocida del servicio. Aunque el mensaje mencione los últimos cuatro dígitos de su tarjeta o el contexto de un pedido, eso por sí solo no indica que sea fiable. No comparta números completos de tarjeta, códigos de seguridad, códigos de un solo uso ni contraseñas de cuentas en llamadas telefónicas.

Revise las sesiones recientes, las direcciones registradas, las tarjetas guardadas y el historial de pedidos de sus cuentas de compras y pagos. Si detecta una transacción sospechosa o una dirección de entrega que no reconoce, solicite ayuda al emisor de la tarjeta y al servicio correspondiente. Aunque el campo de contraseña no figure entre las categorías de datos verificadas, si utiliza la misma dirección de correo electrónico en otros servicios, mantenga activada la autenticación multifactor. Proteja también su cuenta de correo electrónico con medidas sólidas, ya que es el punto de recuperación de todas sus cuentas de compras.

Este incidente demuestra que, en las cuentas de comercio electrónico, no solo la contraseña, sino también el perfil del cliente y su historial de compras generan un riesgo duradero. Elimine las tarjetas guardadas que no necesite, quite las direcciones de entrega antiguas y utilice contraseñas distintas y seguras para sus cuentas de compras. Si es posible, utilice direcciones de correo electrónico diferentes según el servicio; mantenga activadas las notificaciones y las alertas de transacciones con tarjeta para las compras de alto valor.

Desde la perspectiva de las organizaciones, este registro recuerda la importancia de la minimización de datos, el control de acceso y los procesos de verificación en la atención al cliente dentro de los sistemas de comercio minorista. Los campos de nombre, teléfono, dirección y datos parciales de tarjeta pueden ser útiles para el marketing o la gestión de pedidos; sin embargo, cuando se conservan durante más tiempo del necesario, aumentan el riesgo de fraude. Las empresas de comercio electrónico deben segmentar los datos de los clientes, reducir los registros antiguos, facilitar a los equipos de atención al cliente alertas sobre ingeniería social y supervisar periódicamente los accesos sospechosos a los datos.

Si ve un resultado de Mytheresa en LeakData, evalúe este registro como un riesgo relacionado con la exposición del perfil del cliente y el fraude en pagos. El resultado incluye 84 108 direcciones de correo electrónico únicas, junto con nombres, teléfonos, direcciones postales, información de compras, tratamientos de cortesía y campos con datos parciales de tarjetas. Como las categorías de datos verificadas no incluyen contraseñas ni números completos de tarjeta, el nivel de alerta debe interpretarse dentro de ese límite; aun así, conviene mantener un alto grado de cautela ante los fraudes relacionados con la atención al cliente y las entregas.

El orden de actuación es claro: primero proteja su cuenta de correo electrónico y después revise las tarjetas, las direcciones de entrega y los pedidos recientes registrados en Mytheresa y en sus otras cuentas de compras. Si detecta actividad sospechosa en una tarjeta, contacte con su emisor. También debe tener cuidado con los mensajes falsos de devoluciones y entregas en otros servicios de compras en los que esté registrado con el mismo correo electrónico y número de teléfono. Si abrió una cuenta con un correo electrónico corporativo, comparta el resultado con el equipo de seguridad.