En diciembre de 2025, la plataforma de streaming de música SoundCloud reveló un importante incidente de seguridad que afectó a aproximadamente 29,8 millones de cuentas de usuarios. El acceso no autorizado comprometió información personal identificable (PII), incluyendo direcciones de correo electrónico, nombres de usuario, nombres para mostrar, avatares, estadísticas de seguidores y datos de ubicación geográfica. 

En diciembre de 2025, la plataforma de streaming musical SoundCloud reveló una importante brecha de datos que afectó a aproximadamente 29,8 millones de cuentas de usuarios.

El acceso no autorizado comprometió información personal identificable (PII), incluyendo direcciones de correo electrónico, nombres de usuario, nombres para mostrar, avatares, estadísticas de seguidores y datos de ubicación geográfica.

Este incidente representa una de las brechas más significativas en plataformas musicales de los últimos años, impactando a cerca del 20% de la base total de usuarios de SoundCloud.

El equipo de seguridad de SoundCloud identificó actividad no autorizada en su plataforma durante diciembre de 2025, lo que provocó una investigación inmediata sobre el alcance y la naturaleza del compromiso.

Los atacantes explotaron una vulnerabilidad que les permitió vincular información de perfiles públicos con direcciones de correo electrónico de usuarios y recopilarla en grandes cantidades.

Tras el descubrimiento, SoundCloud inició procedimientos de respuesta al incidente y notificó a los usuarios afectados sobre la brecha de seguridad.

Datos expuestos y metodología del ataque

El conjunto de datos comprometidos contenía 30 millones de direcciones de correo electrónico únicas vinculadas a cuentas de usuario, junto con información asociada a los perfiles.

En concreto, la brecha incluyó nombres de usuario, nombres para mostrar, imágenes de avatar, recuentos de seguidores y seguidos, y en algunos casos, información sobre el país del usuario.

No se robaron contraseñas ni detalles de pago, pero la combinación de correos electrónicos con datos de perfil aumenta el riesgo de phishing y toma de control de cuentas.

Los atacantes demostraron un enfoque sistemático al acceder y exfiltrar grandes cantidades de datos disponibles públicamente.

Esto sugiere un compromiso de credenciales o la explotación de una vulnerabilidad en la API que permitió la extracción masiva no autorizada de datos.

Tras la exfiltración de datos, los actores de la amenaza contactaron a SoundCloud exigiendo una compensación económica a cambio de no divulgar el conjunto de datos robados.

Al rechazar SoundCloud la demanda de extorsión, los atacantes publicaron posteriormente los datos comprometidos, aumentando los riesgos de exposición para los usuarios afectados.

Impacto y recomendaciones

La brecha conlleva implicaciones significativas para la privacidad y seguridad de los usuarios. Las direcciones de correo vinculadas a nombres de usuario de SoundCloud aumentan considerablemente el riesgo de ataques de phishing y ingeniería social dirigidos.

A los usuarios afectados se les recomienda verificar su posible exposición utilizando servicios como HaveIBeenPwned. Los atacantes pueden aprovechar estos datos para realizar ataques de relleno de credenciales en otras plataformas donde los usuarios puedan reutilizar sus direcciones de correo.

SoundCloud ha aconsejado a los usuarios afectados que vigilen sus cuentas en busca de actividad sospechosa e implementen medidas de seguridad adicionales.

Los usuarios deben activar la autenticación en dos factores (2FA) en sus cuentas de SoundCloud y considerar cambiar las contraseñas en otras plataformas si han reutilizado credenciales.

Las organizaciones con cuentas de empleados deben revisar los registros de acceso en busca de actividad no autorizada y considerar la implementación de políticas de detección de amenazas basadas en correo electrónico para identificar patrones sospechosos de acceso a cuentas.