Por Canuto  

Una publicación en un foro clandestino ofrece 3.134.269 supuestos registros de DZI Insurance con números de identidad nacional, pasaportes, direcciones y teléfonos. La afirmación todavía no ha sido verificada por la aseguradora ni por su matriz, pero el alcance y la naturaleza permanente de los datos elevan el riesgo de fraude de identidad en Bulgaria.
***

  • Un actor identificado como Intelligence afirma haber extraído 3.134.269 registros mediante una API del portal de clientes de DZI.
  • La supuesta base incluye números de identidad nacional, pasaportes, fechas de nacimiento, nombres, direcciones, correos y teléfonos.
  • La publicación, observada el 1 de septiembre de 2026, limita la venta a dos compradores y permanece sin verificación independiente.

Una publicación en un foro de la dark web ofrece 3.134.269 registros atribuidos a DZI Insurance, una compañía búlgara cuya matriz es KBC Group. El conjunto supuestamente incluye números de identidad nacional y de pasaporte, fechas de nacimiento, direcciones completas, correos electrónicos y hasta dos teléfonos por persona, aunque la aseguradora no ha confirmado públicamente la intrusión.

La oferta fue observada el 1 de septiembre de 2026 por Dark Web Informer, que atribuye la publicación a un actor llamado Intelligence y la fecha de la presunta filtración al 21 de mayo del mismo año. El anuncio fija un límite de dos compradores, no muestra un precio y promete archivos JSON sin procesar, además de nuevas publicaciones, elementos que obligan a distinguir entre una alerta de inteligencia y un incidente probado.

Qué afirma la publicación

Según el anuncio, el objetivo del supuesto ataque fue DZI Insurance, empresa del sector asegurador con operaciones en Bulgaria y vinculada a KBC Group. La publicación asegura que obtuvo los datos a través de una API del portal orientado a clientes, pero no identifica un endpoint específico, una vulnerabilidad concreta ni el método empleado para eludir los controles de acceso.

El volumen anunciado asciende a 3.134.269 registros, una cifra que convierte el caso en una amenaza potencialmente amplia para usuarios individuales y empresas. El vendedor afirma que los archivos contienen nombres escritos en cirílico y en caracteres latinos, direcciones postales completas, direcciones de correo electrónico, hasta dos números telefónicos y marcadores que indican si existe contacto mediante SMS.

La lista también incluiría números de identidad nacional, fechas de nacimiento, números de pasaporte, fechas de emisión y la autoridad que emitió cada documento. A esos campos se sumarían indicadores de nacionalidad, residencia y condición de persona física o empresa, una combinación que puede ofrecer a un atacante más contexto que una base convencional de datos de contacto.

El material se ofrece bajo un esquema de venta privada con precio a consultar y límite de dos compradores. La restricción podría reducir la circulación pública del conjunto, pero también sugiere una estrategia dirigida a monetizar información sensible entre pocos interesados, mientras la promesa de nuevas entregas busca aumentar la presión sobre la empresa y el atractivo comercial del anuncio.

Por qué los datos resultan especialmente sensibles

En Bulgaria, el número de identidad nacional funciona como un identificador central para múltiples interacciones con instituciones financieras, servicios de salud y organismos públicos. Además, codifica información relacionada con la fecha de nacimiento y el sexo, y a diferencia de una contraseña o un número telefónico, no puede cambiarse con facilidad cuando queda expuesto.

La combinación con un pasaporte, su fecha de emisión, la autoridad emisora y una dirección de residencia eleva considerablemente el riesgo. No se trata únicamente de nombres y contactos que podrían reemplazarse, sino de atributos persistentes que pueden servir para intentos de suplantación, apertura fraudulenta de cuentas o engaños personalizados contra clientes y entidades.

Los correos electrónicos y teléfonos agregan una vía inmediata para campañas de phishing, llamadas fraudulentas y mensajes que imiten comunicaciones de una aseguradora o de una institución pública. Los indicadores de SMS, nacionalidad, residencia y tipo de titular podrían ayudar a los delincuentes a segmentar sus operaciones, aunque la publicación no demuestra que los compradores hayan obtenido realmente el conjunto.

La escala anunciada también modifica la evaluación del riesgo. Dark Web Informer sostiene que los 3,1 millones de registros representarían una parte sustancial de la población adulta búlgara, pero esa valoración debe tratarse como una estimación contextual y no como una medición oficial de personas afectadas, porque todavía no existe confirmación sobre la autenticidad, actualidad o duplicación de los datos.

Indicios, dudas y próximos pasos

El informe describe una muestra extensa y aparentemente coherente, con correspondencias entre transliteraciones cirílicas y latinas, formatos plausibles de identificadores y localidades búlgaras reales. Esos rasgos pueden ser difíciles de fabricar a gran escala, pero por sí solos no prueban que la información provenga de los sistemas de DZI ni que todos los registros sean recientes.

También existen señales que aconsejan cautela: la cuenta del foro sería completamente nueva, tendría una sola publicación y carecería de reputación previa. La ausencia de precio, el límite de dos compradores y la promesa de publicar más contenido son recursos frecuentes en mercados clandestinos, donde los vendedores intentan atraer compradores o presionar a una organización sin revelar evidencias suficientes.

Otro aspecto relevante es la diferencia entre la fecha declarada del incidente y la fecha de observación del anuncio. La publicación sitúa la extracción el 21 de mayo de 2026, más de tres meses antes de que fuera detectada, y el informe plantea que la aparente falta de una notificación pública en ese intervalo podría abrir preguntas sobre la respuesta y las obligaciones de comunicación, sin afirmar que se haya incumplido una norma.

Dark Web Informer indica que no recuperó los datos ni enlaza con ellos, una decisión que evita amplificar información personal potencialmente expuesta. Hasta la información disponible, ni DZI ni KBC Group han abordado públicamente la afirmación, por lo que el estado del caso permanece sin verificar y las conclusiones definitivas dependerán de una investigación técnica, una comunicación corporativa y posibles actuaciones de las autoridades competentes.

Qué significa para clientes y entidades

Para los clientes, una publicación de este tipo no demuestra por sí misma que sus datos hayan sido vendidos ni que exista un ataque activo contra sus cuentas. Sin embargo, la combinación anunciada justifica elevar la atención ante correos, llamadas o mensajes que utilicen nombres, direcciones o referencias a pólizas para aparentar legitimidad y solicitar credenciales, códigos de autenticación o pagos.

Las entidades que aceptan un nombre y un número de identidad como prueba suficiente también enfrentan una cuestión estructural. Cuando un identificador permanente aparece junto a documentos y datos de contacto, la verificación basada en información estática pierde capacidad para diferenciar al titular real de un impostor que conoce sus datos.

En ese contexto, las organizaciones pueden necesitar controles adicionales, como autenticación multifactor, validaciones independientes y revisión de cambios inusuales en perfiles o solicitudes. La fuente no afirma que DZI haya aplicado o dejado de aplicar esas medidas, de modo que cualquier evaluación sobre sus controles debe esperar información confirmada y no basarse únicamente en el relato del actor.

El episodio también ilustra por qué las API de portales públicos requieren controles de autorización, límites de consulta, monitoreo de extracción masiva y pruebas periódicas de exposición. Una interfaz diseñada para facilitar el acceso de clientes puede convertirse en un punto de riesgo si devuelve más campos de los necesarios o no distingue correctamente entre usuarios autorizados y solicitudes automatizadas.

La lectura técnica de la alerta

El relato del actor fue asociado con la técnica T1190, explotación de una aplicación accesible desde internet, porque atribuye la extracción a una interfaz insuficientemente protegida del portal de clientes. Esa clasificación es declarativa, no confirmada: el anuncio no presenta el fallo, el endpoint, los registros de acceso ni una cadena de explotación que permita reconstruir el supuesto ingreso.

La oferta de archivos JSON sin procesar se relaciona con la técnica T1213, recopilación de datos desde repositorios de información, ya que el formato sería coherente con una extracción realizada a través de una interfaz de gran escala. Aun así, el formato de los archivos no demuestra por sí solo que los datos hayan salido directamente de una API ni descarta otras fuentes.

El informe también infiere una posible correspondencia con T1567, exfiltración mediante un servicio web, porque la muestra se publica en línea y la venta se gestiona de forma privada. La ruta exacta de salida del entorno no está descrita, por lo que la técnica debe considerarse una inferencia basada en el comportamiento observado y no una constatación forense.

En conjunto, las técnicas ayudan a ordenar la hipótesis, pero no sustituyen una investigación del sistema afectado. La confirmación exigiría comparar muestras con registros legítimos, revisar telemetría de la API, analizar patrones de consulta y determinar si los datos corresponden a clientes reales, a información antigua o a una mezcla manipulada para reforzar la credibilidad de la venta.

Un caso que sigue abierto

La información disponible presenta un escenario de alto impacto potencial y evidencia incompleta. El volumen, los campos anunciados y la posibilidad de que existan identificadores permanentes justifican la vigilancia de clientes, empresas y autoridades, mientras que la falta de confirmación impide describir el episodio como una filtración comprobada.

La limitación a dos compradores puede contener la distribución, pero no elimina el riesgo de uso selectivo contra víctimas concretas. Un conjunto reducido de compradores todavía podría emplear los datos para campañas de fraude dirigidas, extorsión o suplantación, aunque el informe no aporta pruebas de que alguna de esas actividades ya haya ocurrido.

La ausencia de un precio publicado y la cuenta nueva reducen la confianza comercial en el anuncio, mientras que la coherencia interna de la muestra mantiene abierta la posibilidad de que exista material auténtico. Esa tensión explica por qué las organizaciones afectadas suelen necesitar una respuesta en dos frentes: verificar técnicamente la afirmación y preparar medidas preventivas sin esperar a que el mercado clandestino confirme sus intenciones.

Por ahora, el caso debe tratarse como una alerta no verificada sobre DZI Insurance y no como una confirmación de que 3.134.269 personas hayan sido afectadas. La prioridad será establecer la autenticidad del conjunto, identificar el alcance real, informar a quienes correspondan y reforzar los mecanismos de identidad que no deberían depender de un número que el ciudadano no puede reemplazar.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados