Los ciberdelincuentes están perfeccionando sus tácticas de suplantación de identidad para evadir las defensas corporativas y acceder directamente a los portales de recursos humanos.
Una de las cadenas de cafeterías más grandes del mundo ha sido víctima de un ataque cibernético dirigido. Hoy, 13 de marzo de 2026, se reporta que Starbucks Corporation ha confirmado una grave violación de datos que expuso información personal y financiera altamente confidencial de un número no revelado de sus empleados, conocidos internamente como “socios”.
El Engaño del “Partner Central”
La compañía descubrió el acceso no autorizado a su portal interno, denominado Partner Central, alrededor del 6 de febrero de 2026. Los investigadores determinaron que los actores de amenazas lograron obtener credenciales de inicio de sesión corporativas válidas utilizando sofisticadas tácticas de phishing de adversario en el medio (AiTM).
Los atacantes dirigieron hábilmente a los empleados hacia sitios web fraudulentos diseñados para imitar a la perfección la página de inicio de sesión legítima de la empresa. Utilizando estas credenciales recolectadas, los piratas informáticos se autenticaron con éxito en las cuentas reales y accedieron a todos los datos almacenados en su interior.
Información Sensible Comprometida
El aviso oficial de infracción, fechado el 10 de marzo de 2026 y presentado formalmente ante el Fiscal General de Maine, detalla que la brecha expuso una amplia gama de datos críticos:
- Nombres completos de los empleados.
- Números de Seguro Social (SSN), un dato que aumenta severamente el riesgo de sufrir robo de identidad, fraude y transacciones no autorizadas.
- Fechas de nacimiento.
- Números de cuentas financieras y números de ruta (routing numbers) asociados a las cuentas bancarias del personal.
Respuesta Corporativa y Protección
Tras confirmar el incidente de forma interna, Starbucks inició una investigación con expertos en ciberseguridad, notificó rápidamente a las autoridades policiales pertinentes y fortaleció de inmediato los controles de acceso de seguridad a las cuentas de Partner Central para evitar nuevos compromisos.
Como medida de remediación directa, la empresa está ofreciendo a todos los socios afectados una membresía gratuita de 24 meses en el servicio Experian IdentityWorks. Este paquete de protección incluye vigilancia de la red oscura (dark web), monitoreo continuo de crédito, especialistas en restauración de identidad y hasta un millón de dólares en cobertura de seguro contra robo de identidad. Es vital destacar que las víctimas deben inscribirse antes del 30 de junio de 2026 para activar estas protecciones.
Las agencias reguladoras federales y la compañía instan a los afectados a mantener una vigilancia estricta sobre sus informes crediticios durante los próximos 12 a 24 meses, colocar alertas de fraude o congelamientos de seguridad con agencias como Equifax, Experian o TransUnion, y cambiar inmediatamente cualquier contraseña que compartan con el portal comprometido.
