Puntos Clave de la Noticia:
- Se contabilizaron más de 23.000 intentos de correo malicioso, con 19.057 mensajes entregados vía Mailgun y 1.503 mediante Google Workspace.
- Copias residuales de bases de datos en su tienda anterior de WooCommerce preservaron nombres, información de contacto y domicilios de entrega.
- El fabricante revocó las claves API de Cloudflare comprometidas y confirmó que los dispositivos físicos Passport no sufrieron alteraciones de seguridad.
Este lunes 26 de octubre, el fabricante de billeteras de hardware Foundation confirmó que su equipo investiga una filtración de datos tras detectar más de 23.000 correos de suplantación dirigidos a usuarios.
INVESTIGATION UPDATE
Many of you have asked how personal information ended up in the phishing emails, particularly those who ordered from us years ago. Here is what we have found so far.
Phishing emails:
We have identified more than 23,000 phishing email attempts across our…— FOUNDATION (@FoundationHQ) October 26, 2026
El incidente comenzó con la detección de mensajes fraudulentos enviados desde dominios de apariencia oficial. Según el reporte publicado por Foundation, se identificaron más de 23.000 intentos de phishing en su infraestructura, de los cuales 19.057 fueron entregados a través del servicio Mailgun y 1.503 mediante Google Workspace.
Varios destinatarios recibieron múltiples copias del mismo correo. Otros envíos resultaron bloqueados antes de alcanzar las bandejas de entrada de los usuarios. La compañía indicó en su comunicado que estas cifras volumétricas no determinan el número exacto de personas afectadas en sus registros.
El origen de la exposición proviene de tablas desactualizadas de su plataforma previa de comercio electrónico. Antes de migrar su tienda en línea a Shopify en mayo de 2026, la empresa operaba sobre WooCommerce con una regla configurada para anonimizar los datos de clientes 60 días después de cada despacho.
En el panel de administración, la información de los compradores figuraba como eliminada. No obstante, migraciones previas de la base de datos habían duplicado los registros en tablas auxiliares que no formaban parte de la vista principal.
Dichas copias históricas conservaron nombres, números de teléfono, correos electrónicos y direcciones físicas de envío. La información expuesta también abarcó solicitudes de reembolso y carritos de compra abandonados por visitantes que no llegaron a concretar un pedido.
La documentación oficial de Foundation señala que confiar en el estado visual del panel de control representó un procedimiento insuficiente para garantizar la purga del almacenamiento subyacente. Los datos de órdenes procesadas en Shopify a partir de mayo de 2026 también podrían haberse visto comprometidos, dado que las herramientas de borrado automático continuaban en fase de desarrollo técnico.
Varios usuarios reportaron haber recibido mensajes fraudulentos con detalles que afirmaban no haber entregado a la empresa. La investigación evalúa si los atacantes combinaron estos registros con filtraciones externas previas.
Compromiso de claves API y resguardo del hardware
La vía inicial de intrusión se vinculó a credenciales de infraestructura de red. Según la declaración emitida el 25 de octubre de 2026, los atacantes obtuvieron acceso a una o más claves API de Cloudflare pertenecientes a la organización.
Una clave de interfaz de programación de aplicaciones concede permisos administrativos automatizados sin requerir contraseñas tradicionales. Cloudflare gestiona servicios críticos de enrutamiento y nombres de dominio para plataformas en línea.
Tras corroborar la anomalía, el equipo técnico procedió a revocar todas las credenciales activas en dicha plataforma. La entidad confirmó que el dominio malicioso empleado para canalizar los correos fue dado de baja de inmediato.
Los mensajes fraudulentos intentaban engañar a los usuarios para que ingresaran sus frases semilla de recuperación en páginas externas. Para elevar la credibilidad del engaño, los atacantes incluyeron datos personales verídicos de compras pasadas en el cuerpo del correo.
Durante el incidente, los dispositivos de almacenamiento en frío Passport no resultaron vulnerados. La firma remarcó que las claves privadas de los usuarios permanecen protegidas por la arquitectura aislada de sus equipos.
Tanto el modelo Passport Core como el Passport Prime operan con tecnología air-gapped. Esto significa que no poseen conexiones Bluetooth ni puertos de datos convencionales, limitando su interacción a códigos QR o tarjetas microSD.
Reportes de fuentes del sector recuerdan que incidentes similares han afectado a fabricantes de la industria. Durante el año 2020, una vulnerabilidad en los servidores de comercio de Ledger expuso datos de contacto de más de 272.000 clientes, derivando en campañas continuas de extorsión y phishing durante varios trimestres posteriores.
La firma informó que mantendrá desconectados los servicios legados mientras preserva la evidencia digital para las auditorías forenses. El equipo técnico publicará un informe final detallado una vez concluyan las verificaciones periciales de sus registros.
