Filtración de datos de TheSqua.re

Los tipos de datos verificados son direcciones de correo electrónico, nombres, números de teléfono y campos de ubicación geográfica o ciudad. Una dirección de correo electrónico puede ser un dato clave para averiguar si el usuario ha abierto cuentas en otros servicios con esa misma dirección. Si se añade el nombre, un atacante puede personalizar el mensaje; si también dispone de un número de teléfono, los SMS, las llamadas y los intentos de hacerse pasar por representantes de atención al cliente resultan más convincentes. La ciudad o la ubicación pueden relacionarse con las preferencias de viaje del usuario, una posible mudanza, su interés en viajes de trabajo o la búsqueda de alojamiento en una zona concreta. Aunque esta combinación no resulte tan evidente como una filtración de contraseñas por sí sola, tiene un valor considerable para la ingeniería social.

Como no se ha verificado la filtración de contraseñas ni de información de pago, los usuarios no deben interpretar erróneamente el incidente como una filtración de datos de tarjetas bancarias. La gravedad del riesgo se debe a la actualidad de los datos de contacto y al contexto que aportan. En el sector del alojamiento, el nombre, el teléfono y la ciudad pueden utilizarse en mensajes falsos sobre cancelaciones, depósitos, llegadas anticipadas, facturas, estancias corporativas u ofertas especiales. En el caso de quienes buscan alojamiento corporativo, una dirección de correo de trabajo puede dar la impresión de una relación con la empresa, incluso sin estar acompañada del nombre de esta. Por ello, los usuarios afectados deben considerar sospechosos los mensajes que parezcan estar relacionados con el alojamiento o los viajes, pero contengan enlaces inesperados.

La fecha confirmada de la filtración figura como el 27 de junio de 2025, y el registro se incorporó a amplios índices de filtraciones el 27 de agosto de 2025. El alcance total es de 107 041 cuentas de correo electrónico únicas. Los registros fiables de filtraciones indican que los datos están asociados a clientes de TheSqua.re e incluyen campos de nombre, teléfono y correo electrónico, además de información sobre la ciudad. Algunos informes de seguridad de alcance más limitado señalan que el incidente se hizo visible a través de publicaciones en foros y que, en ciertos recuentos, se comunicaron cifras distintas para el número de filas y el de personas únicas. Por lo tanto, el número de direcciones de correo electrónico únicas debe utilizarse como métrica principal, y no debe confundirse el número de filas con el de usuarios.

Los datos que quedan fuera del alcance son al menos tan importantes como el alcance en sí. No hay pruebas verificadas de filtración de contraseñas, tarjetas de pago, cuentas bancarias, pasaportes, documentos oficiales de identidad ni del contenido completo de las reservas. Además, no deben mezclarse con este incidente datos de otras plataformas del mismo sector que TheSqua.re. La filtración se clasifica como un incidente de datos relacionado con los procesos de búsqueda de apartamentos con servicios y de comunicación con los clientes. Los campos que se muestran al usuario deben limitarse a los tipos de datos verificables; no deben incorporarse al alcance público campos adicionales mencionados en afirmaciones de foros que cuenten con una verificación independiente débil.

Los principales grupos de riesgo son los usuarios particulares que buscan alojamiento a través de TheSqua.re, las personas que planean mudarse, los empleados que investigan estancias prolongadas fuera de su ciudad y quienes tienen planes de viajes corporativos. Los usuarios que envían una solicitud con un correo electrónico de trabajo pueden ser objeto de ofertas falsas de alojamiento corporativo o mensajes sobre facturas. Quienes comparten sus números de teléfono personales quedan más expuestos al fraude por llamadas y SMS. En las cuentas que incluyen información sobre la ciudad, el atacante puede adaptar el mensaje a una región o necesidad de viaje concreta, lo que genera un riesgo de ingeniería social más convincente que el simple correo no deseado.

Las solicitudes antiguas también pueden suponer un riesgo. Aunque un usuario haya buscado alojamiento de corta duración hace años y no haya utilizado el servicio, su correo electrónico y su teléfono pueden seguir vigentes. El impacto es especialmente amplio si utiliza la misma dirección de correo electrónico para cuentas de trabajo, viajes, compras y servicios financieros. La información adquiere mayor sensibilidad en el caso de personas que buscan reservas para familiares, solicitan alojamiento en nombre de una empresa o buscan alojamiento temporal en distintos países. En el futuro, estos usuarios podrían tener dificultades para distinguir los mensajes falsos de los mensajes legítimos de empresas de viajes.

Si comprueba que se ha visto afectado, revise primero sus preferencias de sesión, contacto y notificaciones en su cuenta de TheSqua.re. Active la autenticación multifactor en las cuentas críticas que utilicen la misma dirección de correo electrónico, dando prioridad a las cuentas de correo, los gestores de contraseñas, las cuentas financieras y las plataformas de viajes. Aunque en este incidente no se confirmó una filtración de contraseñas, si ha utilizado la misma contraseña en muchos sitios durante mucho tiempo, conviene cambiarla. No abra directamente ofertas de alojamiento, recordatorios de pago, cambios de reserva ni enlaces relacionados con la atención al cliente; acceda al servicio escribiendo manualmente la dirección en su navegador.

Si se ha visto afectado, no comparta información de pago, identidad, tarjetas o recuperación de cuentas durante llamadas inesperadas. Verifique la autenticidad de quien llama únicamente por un canal independiente. Tenga presente que los mensajes que mencionan una ciudad pueden parecer más convincentes; por ejemplo, no debe considerar automáticamente fiable un correo que haga referencia a una ciudad donde buscó alojamiento anteriormente. Si utiliza el servicio en un contexto corporativo, puede informar a los equipos de viajes o de recursos humanos de su empresa para fomentar la precaución ante mensajes falsos de alojamiento y facturas.

A largo plazo, utilizar una dirección de correo electrónico distinta o un alias para las cuentas de viajes y alojamiento reduce la acumulación de datos. Comparta su número de teléfono solo en los campos obligatorios y, si es posible, elimine la información de los campos innecesarios del perfil una vez completada la reserva. Revise periódicamente sus antiguas cuentas de alojamiento, eventos y ofertas; elimine la información personal de las cuentas que ya no utilice o ciérrelas. Así, será menor la cantidad de datos que podría quedar expuesta en un incidente similar en el futuro.

En el ámbito empresarial, los procesos de contratación de viajes y alojamiento deben contar con grupos de correo separados, pasos de verificación de proveedores y controles de aprobación de facturas. Puede restringirse el uso del correo electrónico de la empresa por parte de los empleados para búsquedas particulares de alojamiento. En las formaciones de seguridad, deben utilizarse como ejemplos mensajes falsos de alojamiento que contengan datos reales de ciudad y teléfono. Los usuarios particulares también deben mantener el hábito de utilizar un gestor de contraseñas y una autenticación multifactor robusta, además de comprobar periódicamente si sus datos aparecen en filtraciones. Este enfoque no puede revertir por completo un incidente de datos, pero reduce considerablemente la probabilidad de que se produzcan usos indebidos posteriores.

Si su resultado aparece asociado a TheSqua.re, debe considerar este incidente como una filtración de datos de identidad y contacto. El primer paso es proteger su cuenta de correo electrónico y, después, revisar las cuentas de viajes, alojamiento, finanzas y compras que utilice con ese mismo correo. Si también se han visto afectados el número de teléfono y la información sobre la ciudad, extreme la precaución ante los SMS, las llamadas y los mensajes con ofertas para ubicaciones concretas. Si tiene una solicitud real de alojamiento o realizó una consulta sobre una reserva en el pasado, tenga en cuenta que ese contexto podría utilizarse en mensajes falsos.

Una coincidencia en la pantalla de resultados no significa necesariamente que se haya confirmado la filtración de su contraseña o tarjeta de pago. Los campos verificados se limitan al correo electrónico, el nombre, el teléfono y la ubicación. Aun así, este conjunto de datos puede ser suficiente para cometer fraude dirigido. Antes de eliminar mensajes sospechosos, puede enviar el asunto, el remitente y los detalles de los enlaces al equipo de seguridad o al proveedor del servicio correspondiente. Mantenga activadas las notificaciones de las cuentas críticas, revise de vez en cuando el historial de sesiones y no acepte solicitudes de pago inesperadas relacionadas con el sector del alojamiento sin verificarlas por un canal independiente.