Ericsson Inc. en EE. UU. sufre una brecha de datos por el hackeo de un proveedor externo, exponiendo SSN, documentos de identidad, datos financieros y médicos. La compañía ofrece protección de identidad gratuita a los afectados.

• Ericsson Inc. (EE. UU.) ha notificado una brecha de datos vinculada al hackeo de un proveedor de servicios que almacenaba información personal. La exposición podría incluir SSN, documentos de identidad, datos financieros y médicos, y la compañía ofrece protección de identidad gratuita.

Ericsson Inc. en Estados Unidos ha comunicado una brecha de datos después de confirmar que un proveedor de servicios externo que gestionaba y alojaba información para la compañía sufrió un incidente de seguridad. Según la información divulgada, el proveedor detectó la intrusión el 28 de abril de 2025, notificó el caso al FBI y recurrió a especialistas externos para investigar el alcance. Aunque el incidente se originó fuera de los sistemas directos de Ericsson, el impacto potencial recae sobre datos asociados a su actividad, en un recordatorio claro de cómo el riesgo de terceros puede convertirse en un problema de primera magnitud incluso cuando el ataque no se dirige inicialmente a la empresa principal.

La revisión posterior de Ericsson concluyó que un subconjunto limitado de archivos pudo haber sido accedido o adquirido sin autorización durante una ventana temporal concreta, entre el 17 y el 22 de abril de 2025. La compañía indica que el proceso de revisión y verificación de los ficheros potencialmente afectados se cerró el 23 de febrero de 2026, lo que sugiere un análisis prolongado para identificar con precisión qué información estuvo expuesta y a quién afectaba. En una notificación presentada ante el Fiscal General de Texas, se recoge que 4.377 personas en ese estado se vieron impactadas; no obstante, el total global no se ha detallado públicamente.

El tipo de información que podría haberse visto comprometida eleva la gravedad del caso. Entre los datos mencionados figuran nombre, dirección, fecha de nacimiento, el Social Security Number (SSN), números de permiso de conducir y otros IDs gubernamentales (como pasaporte o identificaciones estatales), además de información financiera (por ejemplo, números de cuentas o tarjetas) y también información médica. Aunque Ericsson afirma que, hasta el momento, el proveedor no ha hallado evidencia confirmada de uso indebido de los datos, la combinación de PII y posibles elementos financieros y sanitarios incrementa el riesgo de fraude y robo de identidad, así como de campañas de phishing y suplantación más creíbles.

Como medida de mitigación, Ericsson ofrece servicios gratuitos de protección de identidad a través de IDX, que incluyen monitorización (como alertas de crédito y vigilancia de dark web), asistencia para recuperación en caso de robo de identidad y una póliza de reembolso por fraude de hasta 1 millón de dólares. La fecha límite comunicada para inscribirse en esta cobertura es el 9 de junio de 2026. En paralelo, este incidente refuerza la necesidad de que las organizaciones revisen sus controles de gestión de proveedores: qué datos se externalizan, cómo se cifran, qué registros y auditorías existen, y qué obligaciones contractuales de notificación y respuesta se exigen para reducir el impacto cuando el eslabón más débil está fuera de la propia empresa.

Más información

• BleepingComputer: https://www.bleepingcomputer.com/news/security/ericsson-us-discloses-data-breach-after-service-provider-hack/