Filtración de datos de SoundCloud de 2025

Los tipos de datos cuya exposición se ha verificado son avatares, direcciones de correo electrónico, ubicaciones geográficas, nombres, estadísticas de perfiles y nombres de usuario. Las estadísticas de los perfiles incluyen el número de seguidores y de cuentas seguidas, mientras que la información sobre el país solo aparece en algunos registros. No se ha verificado la exposición de contraseñas, información de pago, mensajes privados ni historial de escucha en este incidente.

La asociación masiva de un nombre de usuario, un avatar y el tamaño de la audiencia de un perfil con una dirección de correo electrónico puede vincular a un artista, un oyente o una cuenta con seudónimo con una dirección de contacto privada. Este vínculo puede hacer más convincentes los intentos de phishing dirigido, los avisos falsos sobre derechos de autor, las ofertas de colaboración, los mensajes de verificación de cuentas y las estafas relacionadas con la representación de artistas.

SoundCloud afirmó que activó sus procedimientos de respuesta a incidentes tras detectar actividad no autorizada en el panel de control de un servicio auxiliar, contuvo el acceso no autorizado y recurrió a especialistas independientes en ciberseguridad. La empresa mejoró la supervisión y la detección de amenazas, reforzó los controles de identidad y acceso y auditó los sistemas relacionados. Tras la contención del incidente, unos ataques de denegación de servicio también interrumpieron temporalmente el servicio web.

En una actualización de enero de 2026, SoundCloud afirmó que el grupo responsable de la amenaza había planteado exigencias y había utilizado tácticas de envío masivo de correos electrónicos para saturar las bandejas de entrada de usuarios y empleados. Aunque el grupo aseguró haber obtenido información más sensible, la investigación no encontró pruebas que respaldaran esas afirmaciones. La investigación final, concluida en febrero de 2026, confirmó que los datos sustraídos se limitaban a direcciones de correo electrónico e información que ya era visible en los perfiles públicos.

Los artistas, productores, responsables de la publicación de pódcasts, cuentas de sellos discográficos y perfiles con muchos seguidores pueden ser objetivos más visibles para mensajes personalizados. En el caso de quienes utilizan un nombre artístico o un seudónimo, vincular una dirección de correo electrónico con el perfil puede debilitar la separación entre una identidad pública y un canal de comunicación privado.

Los usuarios cuyos datos incluyen la ubicación pueden recibir ofertas falsas de eventos locales, patrocinios, conciertos o distribución, mientras que las cuentas con mayor visibilidad pueden recibir mensajes dirigidos sobre insignias de verificación, derechos de autor, reparto de ingresos o inclusión en listas de reproducción. Que un mensaje contenga datos correctos del perfil no demuestra que el remitente sea legítimo.

No se confirmó la exposición de contraseñas, por lo que este incidente, por sí solo, no debe presentarse como prueba de que una contraseña haya quedado comprometida. Acceda a sus cuentas de SoundCloud y de correo electrónico vinculadas a través del sitio web o la aplicación oficiales, y no siga enlaces incluidos en mensajes inesperados sobre restablecimiento de contraseñas, derechos de autor, distribución o colaboración.

Active la autenticación multifactor en su cuenta principal de correo electrónico, revise las sesiones activas y las aplicaciones conectadas, y nunca comparta códigos de verificación. Si recibe una avalancha de correos electrónicos, recuerde que las alertas de seguridad importantes pueden quedar ocultas entre los mensajes; revise los filtros y denuncie los correos sospechosos.

Mantenga separada la dirección de contacto pública que utiliza para su perfil de artista o creador de su dirección de correo electrónico personal. Revise periódicamente la ubicación, el nombre real y otros campos identificativos que aparecen en su perfil. Utilice una contraseña única para cada servicio, un gestor de contraseñas de confianza y autenticación multifactor siempre que esté disponible.

El vínculo entre una dirección de correo electrónico y la identidad de un perfil público puede generar un riesgo a largo plazo de recibir ataques dirigidos. Verifique las solicitudes relacionadas con derechos de autor, pagos, distribución, publicidad y representación de artistas a través de un panel de gestión conocido, en lugar de seguir enlaces en los mensajes, y retire periódicamente el acceso de antiguos miembros del equipo a las cuentas compartidas.

Busque su dirección de correo electrónico con la herramienta de comprobación de filtraciones para saber si coincide con el registro de SoundCloud. Una coincidencia indica que la dirección de correo electrónico estaba vinculada a información de un perfil público de SoundCloud en el conjunto de datos verificado; no significa que se hayan expuesto una contraseña, información financiera o todos los campos enumerados de ese usuario.