Adidas ha confirmado que está investigando activamente un posible incidente de filtración de datos que involucra a uno de sus socios externos independientes, después de que un actor de amenazas que opera bajo el alias “LAPSUS-GROUP” publicara afirmaciones en BreachForums el 16 de febrero de 2026, alegando acceso no autorizado al portal extranet del gigante deportivo. Se cree que el actor está asociado con los Scattered Lapsus$ Hunters

Adidas ha confirmado que está investigando activamente un posible incidente de filtración de datos que involucra a uno de sus socios externos independientes, después de que un actor de amenazas que opera bajo el alias “LAPSUS-GROUP” publicara afirmaciones en BreachForums el 16 de febrero de 2026, alegando acceso no autorizado al portal extranet de la gigante de ropa deportiva.

Se cree que el actor está asociado con el colectivo Scattered Lapsus$ Hunters, un grupo conocido por intrusiones basadas en ingeniería social. Según sus declaraciones, habrían exfiltrado aproximadamente 815,000 registros de datos del Extranet de Adidas, un portal web restringido utilizado por socios comerciales autorizados, proveedores y minoristas para interactuar con la empresa.

El conjunto de datos supuestamente robado incluye nombres, apellidos, direcciones de correo electrónico, contraseñas, fechas de nacimiento, información de empresas y lo que el actor describió como “una gran cantidad de datos técnicos”. El grupo también insinuó futuras revelaciones, afirmando que “algo más grande está por venir”, y aseguró poseer alrededor de 420 GB de datos relacionados con Adidas en el mercado francés.

“Hemos sido informados de un posible incidente de protección de datos en uno de nuestros socios independientes de licencias y distribuidor de productos de artes marciales”, confirmó un portavoz de Adidas a The Register.

“Se trata de una empresa independiente con sus propios sistemas de TI”. Adidas aclaró que “no hay indicios de que la infraestructura de TI de Adidas, nuestras plataformas de comercio electrónico o los datos de nuestros consumidores se hayan visto afectados por el incidente”.

Este suceso sigue a una filtración de terceros revelada en mayo de 2025, cuando una parte no autorizada accedió a un proveedor externo de servicio al cliente utilizado por Adidas, exponiendo los datos de contacto de clientes que habían contactado previamente con el servicio de ayuda de la marca. En ese caso, no se comprometieron contraseñas ni datos financieros. La repetición de incidentes con terceros marca un patrón preocupante para la gigante alemana de ropa deportiva, reforzando las preocupaciones sobre la seguridad en la cadena de suministro y la gestión de accesos de proveedores.

Adidas se negó a confirmar la línea de tiempo del compromiso o especificar qué datos fueron accedidos, dejando preguntas sin responder mientras continúa la investigación.

Expertos en seguridad recomiendan que las empresas apliquen accesos con privilegios mínimos, exijan autenticación multifactor para todas las interacciones con proveedores externos y realicen auditorías periódicas de los portales orientados a socios para minimizar la exposición en superficies de ataque tipo extranet.

Fuentes:
https://cybersecuritynews.com/adidas-investigates-data-breach/