Filtración de datos de UK Government Investments de 2025–2026
La filtración de datos de UK Government Investments de 2025–2026 fue una exposición confirmada en la que un archivo interno estuvo accesible al público durante aproximadamente 40 horas.
Tipos de datos expuestos
2- Nombres
- Direcciones de correo electrónico
Acerca de esta brecha de datos
UKGI reveló en su informe anual oficial que el incidente se produjo tras la actuación de un miembro del personal que incumplió las políticas de seguridad de la información establecidas.
El archivo contenía información de gestión de alto nivel, así como los nombres y las direcciones de correo electrónico laboral de 51 funcionarios públicos. UKGI notificó el incidente a la Information Commissioner's Office y a su Comité de Auditoría y Riesgos, aunque señaló que no alcanzaba el umbral que habría hecho obligatoria la notificación.
¿Cómo se confirmó el incidente de UKGI?
La fuente principal es el Informe anual y cuentas 2025–26 de UK Government Investments. El informe oficial documenta directamente el número de personas, las categorías de datos, la duración aproximada de la exposición, el incumplimiento de las políticas, la notificación a la autoridad reguladora y la revisión externa posterior al incidente.
The Guardian examinó de forma independiente la información publicada en el informe anual e informó sobre ella el 2 de agosto de 2026. Su cobertura confirma que los datos de contacto de 51 funcionarios públicos estuvieron accesibles durante unas 40 horas, que UKGI recurrió a especialistas externos para revisar sus controles y que no se publicó la fecha exacta del incidente.
¿Cuándo ocurrió el incidente?
UKGI solo indica que el incidente ocurrió durante el ejercicio financiero comprendido entre el 1 de abril de 2025 y el 31 de marzo de 2026. No se dieron a conocer las fechas en que comenzó el acceso, se descubrió la exposición y se cerró el acceso; por tanto, el 1 de abril de 2025 representa el inicio del periodo indicado, no la fecha exacta de la filtración.
El archivo estuvo accesible al público durante aproximadamente 40 horas. Esa duración indica cuánto tiempo se prolongó la exposición, pero no cuántas veces se consultó, descargó o compartió el archivo; las fuentes no confirman que una persona no autorizada lo utilizara.
¿Qué información quedó expuesta?
Las categorías de datos personales cuya exposición está confirmada son los nombres y las direcciones de correo electrónico laboral. El mismo archivo también contenía información de gestión de alto nivel cuyos detalles no se hicieron públicos; esa expresión describe contenido interno de la organización y no acredita la presencia de otros campos de datos personales.
Las fuentes no indican que se hayan expuesto números de teléfono, domicilios particulares, contraseñas, documentos de identidad, cuentas bancarias, tarjetas de pago, información de salud ni contenido de correos electrónicos privados. El hecho confirmado es que un archivo quedó accesible por accidente; no se ha acreditado ningún ciberataque ni ninguna actividad de malware o ransomware.
¿Qué significa la cifra de 51 personas?
El informe oficial identifica a 51 funcionarios públicos cuyos nombres y direcciones de correo electrónico laboral figuraban en el archivo. Se trata de un número de personas, no de un número de documentos, una medida del tamaño del archivo ni un recuento de accesos, y no se combina con la duración aproximada de 40 horas.
Las fuentes no establecen que una persona no autorizada haya consultado la información de cada funcionario ni que se haya hecho un uso indebido de ella. El total describe al conjunto de personas cuyos datos figuraban en el archivo expuesto; no es un recuento de casos confirmados de phishing, toma de control de cuentas u otros daños.
¿Cómo respondió UKGI?
UKGI notificó voluntariamente el incidente a la Information Commissioner's Office, pese a afirmar que no alcanzaba el umbral que habría hecho obligatoria la notificación, y lo elevó al Comité de Auditoría y Riesgos. También contrató a una firma independiente para revisar la respuesta y los controles de seguridad de la información.
La revisión externa consideró adecuada la respuesta de UKGI al incidente y recomendó reforzar los controles y la preparación ante incidentes. UKGI afirmó que había aplicado, o que aplicaría en los meses siguientes, la gran mayoría de esas recomendaciones; las fuentes no informan de ninguna sanción concreta ni de un uso indebido confirmado.
¿Qué deben hacer los funcionarios afectados?
Una dirección de correo electrónico laboral, combinada con información sobre el cargo, puede facilitar ataques de phishing dirigidos que parezcan adaptados a una organización concreta. Cuando reciba mensajes inesperados que afirmen proceder de UKGI, HM Treasury u otro organismo público, verifique el remitente, el dominio del enlace y la acción solicitada a través de un canal oficial que haya localizado por su cuenta.
No utilice enlaces que soliciten una contraseña o un código de autenticación multifactor, y pida a su equipo de seguridad que verifique las invitaciones inesperadas para compartir archivos. Si UKGI le envió una notificación individual, utilícela como fuente principal para determinar el alcance específico de la exposición de sus datos; la ausencia de una notificación no debe considerarse una prueba definitiva de que sus datos no figuraban en el archivo.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
