Brecha de datos de Ultrahuman en 2026

La persona no autorizada obtuvo acceso de solo lectura a la herramienta interna de análisis. Ultrahuman afirmó que detectó el incidente en cuestión de horas, desconectó el sistema y revocó el acceso.

Según la información que la empresa proporcionó a TechCrunch, las credenciales de empleado utilizadas para acceder al sistema se habían robado de una computadora portátil infectada con malware. Los sistemas de producción, la aplicación Ultrahuman y los dispositivos Ring no se vieron afectados.

El comunicado público confirma que se expusieron datos de contacto y de la cuenta, junto con el historial de pedidos o transacciones. También fueron visibles para algunos usuarios datos de actividad física asociados al uso de los productos y a las compras, pero no se detallaron públicamente los indicadores individuales de bienestar.

Ultrahuman afirmó que no se podía acceder a las contraseñas, los números completos de tarjetas de pago, los CVV ni las credenciales bancarias. Esos campos no se incluyen en este registro, y la empresa no informó de una vulneración de las cuentas de los usuarios en los proveedores de inicio de sesión mediante redes sociales.

El historial de pedidos y de contactos puede hacer más convincentes los mensajes fraudulentos sobre entregas, garantías, suscripciones o asistencia. Los atacantes pueden utilizar información real sobre los productos para inducir a un usuario a abrir un enlace o revelar información adicional.

Los datos de actividad física pueden revelar información sensible sobre los hábitos diarios, pero el comunicado no identifica los indicadores concretos que fueron visibles. No debe suponerse que se hayan expuesto datos sobre el sueño, la frecuencia cardíaca, la glucosa ni ningún otro dato individual de salud.

Ultrahuman envió correos electrónicos directamente a las cuentas afectadas el 2 de junio de 2026 o después de esa fecha. Verifique cualquier notificación a través de la página oficial de la empresa sobre el incidente y de una dirección de contacto confirmada, en lugar de seguir un enlace de un mensaje inesperado.

Como Ultrahuman no almacena una contraseña de Ultrahuman y utiliza el inicio de sesión de Google, Apple o Facebook, el incidente no exige directamente cambiar una contraseña de Ultrahuman. Aun así, los usuarios deben activar la verificación en dos pasos en su proveedor de inicio de sesión y revisar las sesiones activas.

La empresa afirmó que el grupo cuyos datos de actividad física fueron visibles representaba aproximadamente el 0,1 % de los usuarios; ese porcentaje no corresponde al número total de cuentas afectadas. La estimación de unas 700 personas, calculada a partir del número de usuarios activos mensuales, no es una cifra total oficial y no se utiliza en este registro.

El acceso de solo lectura significa que la información no podía modificarse; no significa que los datos no pudieran verse o exportarse. Ultrahuman indicó que no había indicios de publicación ni de uso indebido, pero no confirmó si se habían extraído datos de los clientes.

Una coincidencia positiva significa que la dirección de correo electrónico consultada figura en un conjunto de datos asociado a este incidente; no demuestra que los datos de actividad física o todos los campos enumerados correspondan a esa persona. El correo electrónico de notificación individual ofrece la información más precisa sobre el alcance.

Un resultado negativo no demuestra que una persona no se haya visto afectada. Toda persona que haya recibido una notificación oficial debe revisar las categorías indicadas en ese mensaje, independientemente del resultado de la búsqueda, y mantenerse alerta ante los intentos de phishing que utilicen a Ultrahuman como reclamo.