Brecha de datos de Texas Parks and Wildlife Department de 2026

La brecha afectó al proveedor del sistema que procesa las ventas de licencias de caza y pesca de TPWD. La agencia no hizo público el nombre del proveedor externo. Por tanto, este registro documenta un incidente en un proveedor que afectó a los datos de clientes de Texas Parks and Wildlife Department, sin dar por confirmada la identidad de ninguna empresa ni la implicación de ningún software o servicio en la nube concretos.

Texas Cyber Command detectó el acceso no autorizado e inició una investigación sobre su alcance e impacto. El aviso público no indica la fecha del acceso inicial, cuánto tiempo permaneció el atacante en el entorno, la vulnerabilidad explotada ni el método de exfiltración. El 18 de junio de 2026 es la fecha de actualización publicada en la página oficial y no corresponde al inicio técnico del ataque.

La investigación indicó que el atacante podría haber obtenido información de las licencias de conducir, números de pasaporte si el cliente los había facilitado, direcciones de correo electrónico, números de teléfono y domicilios. Estos campos corresponden a clientes de licencias de caza y pesca de Texas. El número de pasaporte no era necesariamente obligatorio ni figuraba en todos los registros; la agencia limitó expresamente el alcance a la información que se hubiera facilitado.

Esta combinación puede aumentar el riesgo de suplantación de identidad, phishing dirigido y avisos oficiales falsos. Vincular el domicilio y los datos de contacto con un número de licencia de conducir o de pasaporte puede ayudar a un atacante a crear situaciones convincentes. Este registro no presupone ni añade nombres, números de licencia de caza u otros campos que no se hayan divulgado públicamente.

TPWD afirmó que en el incidente no se obtuvieron números de la Seguridad Social, fechas de nacimiento ni información financiera, incluidos los datos de tarjetas de crédito. La agencia también indicó que no había pruebas de que se hubieran visto afectados clientes menores de 18 años ni de que algún grupo concreto hubiera sido objeto de un ataque dirigido. Estas exclusiones proceden de los resultados oficiales de la investigación.

Confirmar que ciertos campos no se vieron afectados no resta importancia al incidente; los identificadores emitidos por las autoridades, como los números de licencia de conducir y de pasaporte, siguen siendo sensibles. El análisis de riesgos se limita a los campos divulgados.

BleepingComputer informó de que se habían visto afectados 3 087 721 clientes de licencias de caza y pesca de Texas. La propia página de TPWD resume el mismo alcance como más de tres millones de clientes.

El número de personas afectadas publicado por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona. Si un cliente tenía varias licencias o registros de contacto, estos no se contabilizan como personas distintas. El total verificado de clientes es de 3 087 721.

TPWD indicó que comenzó a trabajar con el proveedor del sistema de licencias para implementar nuevas medidas de protección y reforzar la supervisión. Se reforzaron de inmediato los controles de acceso que protegen los datos de los perfiles de clientes y se planificaron funciones de seguridad adicionales. La agencia afirmó que las ventas de licencias de agosto y el siguiente periodo anual de licencias se desarrollarían según lo previsto.

A los clientes afectados se les ofreció un año de supervisión gratuita del crédito a través de Kroll. La agencia recomendó revisar los informes crediticios y las cuentas financieras, mantenerse alerta ante comunicaciones sospechosas y considerar una congelación del crédito o una alerta de fraude cuando fuera apropiado. Este servicio no significa que se hayan robado datos financieros; es una precaución frente al riesgo de que los datos obtenidos se utilicen posteriormente para suplantar identidades.

Este registro no abarca a todas las personas con licencia de conducir de Texas ni a todos los sistemas del gobierno estatal. La población afectada está formada por clientes que compraron licencias de caza y pesca a través del sistema del proveedor externo de TPWD. Que Texas Cyber Command descubriera el incidente no implica que la brecha se produjera en toda la red del estado de Texas.

La conclusión verificada es que, en un proveedor de sistemas de licencias, un actor no autorizado podría haber obtenido información de las licencias de conducir, algunos números de pasaporte y datos de contacto y domicilio de 3 087 721 clientes de TPWD. No se confirmó la obtención de números de la Seguridad Social, fechas de nacimiento ni datos financieros, ni que se hubieran visto afectados clientes menores de 18 años o que el ataque se hubiera dirigido a un grupo específico; tampoco se divulgaron la identidad del proveedor ni el método técnico del ataque.