Un actor de amenazas bajo el alias “anes2010” afirma estar vendiendo en un foro de cibercrimen una base de datos de Starbucks. Según el atacante, la filtración contiene 176 millones de registros de usuarios únicos, presuntamente extraídos en junio de 2026. Hasta el momento, Starbucks no ha confirmado el incidente ni se ha verificado de forma independiente la veracidad de la información.

Presuntamente, Starbucks ha sido mencionada en un foro de cibercrimen por un actor de amenazas que utiliza el alias “anes2010”, quien afirma estar vendiendo una base de datos que contiene 176 millones de registros únicos de usuarios, supuestamente extraídos en junio de 2026.

Starbucks no ha confirmado públicamente el supuesto incidente de seguridad, y la afirmación no ha sido verificada de forma independiente. Como resultado, tanto la brecha reportada como el contenido del conjunto de datos deben tratarse como no confirmados al momento de escribir esto.

El actor de amenazas supuestamente publicitó la mencionada base de datos de Starbucks por 400 dólares y, según se informa, proporcionó registros de muestra para respaldar la venta.

Los vendedores cibercriminales suelen compartir muestras para que las afirmaciones de filtraciones parezcan creíbles. Sin embargo, las muestras por sí solas no establecen que un conjunto de datos completo sea genuino, esté actualizado o haya sido obtenido directamente de la organización nombrada.

Según una publicación compartida por la cuenta de inteligencia de amenazas Intel and Breaches, el anuncio en el foro afirma que la presunta base de datos contiene direcciones de correo electrónico, nombres de usuario, hashes de contraseñas, detalles de país y ciudad, fechas de creación de cuentas, fechas de última actividad, estado de la cuenta y estado de verificación del correo electrónico.

Filtración de la base de datos de Starbucks

El actor alega además que la base de datos contiene detalles y saldos de la Starbucks Card, configuraciones de recarga automática, tiendas preferidas y preferencias de bebidas.

Los registros reclamados también podrían incluir fechas de nacimiento, puntos de Starbucks Rewards, estrellas acumuladas, gasto total e información de moneda.

Si fuera genuina, esta combinación de datos de cuenta, fidelidad y personales podría presentar riesgos sustanciales de privacidad y fraude para los clientes afectados.

Los hashes de contraseñas no son necesariamente contraseñas en texto plano. Sin embargo, el riesgo real depende del algoritmo de hashing de contraseñas, su configuración, la presencia de sales únicas y los controles de seguridad de la organización.

Los métodos de hashing débiles o desactualizados pueden permitir que los atacantes intenten el descifrado de contraseñas fuera de línea. Las direcciones de correo electrónico y los datos detallados del programa de fidelidad también podrían respaldar campañas de phishing altamente dirigidas.

Los atacantes podrían enviar mensajes fraudulentos sobre puntos de recompensa, suspensiones de cuenta, saldos de Starbucks Card, actualizaciones de pago, cambios en la recarga automática o verificación de cuenta para robar credenciales o información de pago.

Si reutilizas contraseñas en varios sitios web, te enfrentas a un riesgo mayor si se confirman los presuntos registros y las contraseñas terminan expuestas o descifradas.

El relleno de credenciales (credential stuffing) puede permitir que los atacantes prueben combinaciones de usuario y contraseña reutilizadas en cuentas de correo electrónico, banca, tiendas y redes sociales.

Si eres cliente de Starbucks, debes tener cuidado con los correos electrónicos, mensajes SMS o llamadas inesperadas que afirmen que se requiere una acción urgente en tu cuenta de Starbucks.

Evita hacer clic en enlaces en mensajes no solicitados y, en su lugar, abre la aplicación móvil oficial de Starbucks o visita directamente el sitio web oficial de la empresa.

Debes usar una contraseña única y fuerte para tu cuenta de Starbucks y evitar reutilizar esa contraseña en cualquier otro servicio.

También deberías supervisar los saldos de tu Starbucks Card, la actividad de recompensas, los métodos de pago almacenados y los cambios en el perfil de tu cuenta para detectar cualquier actividad sospechosa.

La autenticidad, el origen y el alcance total del presunto conjunto de datos de Starbucks siguen siendo desconocidos. Starbucks, investigadores independientes y organizaciones de monitoreo de brechas deberán validar la afirmación antes de que pueda tratarse como un compromiso confirmado.