La fuga de datos de Condé Nast saca a la venta 32,8 millones de cuentas de Vogue, GQ y WIRED por 15.000 dólares. El anuncio apareció el 7 de septiembre en un foro de ciberdelincuencia en ruso y Condé Nast no ha confirmado la brecha.
Lo reconozco: al principio pensé que era una ampliación del volcado de WIRED de diciembre de 2025. Sin embargo, la muestra de 5.000 registros revisada por Ransomnews apunta a un dataset más amplio y no reciclado.
La base incluye, según el vendedor, 32.815.767 direcciones de correo únicas. No hay contraseñas, ni hashes, ni datos de tarjetas, pero sí nombres, direcciones postales, género, fechas de nacimiento y teléfonos en una parte de los registros.
La venta: 32,8 millones de registros por 15.000 dólares
El vendedor ofrece el lote completo por 15.000 dólares, una cifra que deja el precio por registro por debajo de medio céntimo. Su cuenta en el foro es nueva, con poca reputación visible, y acepta depósito de garantía, un perfil que encaja con un vendedor que busca un único comprador en lugar de notoriedad pública.
Ransomnews ha contrastado la muestra de 5.000 filas y concluye que es coherente con datos reales de cuentas de Condé Nast capturados entre septiembre y finales de octubre de 2025. El 31,6% de los registros incluye nombre y apellido, y el 22,3% dirección postal; el 17,5% incluye género, el 12,6% fecha de nacimiento y el 2,9% teléfono.
Quince mil dólares. Menos de medio céntimo por registro; el crimen también cotiza al por mayor.
Las cifras conectan la oferta con la brecha anterior de WIRED. El vendedor afirma que una versión sin los registros de WIRED contiene 30.455.594 cuentas, lo que deja un subconjunto de 2,36 millones para la cabecera. Ese número se acerca al volcado público de diciembre de 2025, con 2.366.576 registros.
Los números encajan.
Esa coincidencia no prueba que el vendedor sea el atacante original. Podría ser la misma persona, un socio o un intermediario que recibió los datos más tarde. En cualquier caso, la muestra no parece una copia reciclada del volcado público de WIRED: contiene nombres y direcciones en proporciones más altas, otra estructura de campos y una distribución demográfica propia de un conjunto más amplio de publicaciones de Condé Nast.
No se equivoque: la ausencia de contraseñas no hace el lote inofensivo. Un suscriptor de Vogue, de GQ o de The New Yorker puede recibir un mensaje que use su nombre, su dirección y su relación con la cabecera. Eso convierte una falsa renovación o un cargo de reembolso en algo mucho más creíble que el spam común. Y el fraude puede llegar también por correo postal, no solo por email o SMS.
Anatomía técnica: por qué la muestra no parece un refrito
El análisis apunta a un fallo de control de acceso roto, probablemente un IDOR (insecure direct object reference), según el examen técnico previo de SecurityWeek. En este tipo de fallo, una aplicación permite leer o modificar datos de otro usuario porque comprueba identificadores, pero no valida la autorización.
He visto suficientes datasets fabricados para distinguir la suciedad humana del dato sintético. La muestra pasó varias comprobaciones internas: entre los registros con nombre completo, el 61,9% tenía un correo que coincidía con el nombre o sus iniciales; al mezclar los nombres aleatoriamente, ese porcentaje caía al 0,3%. Además, el 96,4% de los códigos postales de EE.UU. coincidía con el estado declarado y el 93,5% con la ciudad.
Los datos sucios son buena evidencia. Campos como ‘Seleccione su estado’, valores numéricos de menús desplegables, etiquetas inconsistentes de país, nombres en minúsculas y fechas de nacimiento fijadas a 1 de enero son los errores normales de un formulario web sostenido durante décadas. Los datos fabricados suelen ser más limpios; los reales son incómodamente humanos.
Las fechas de alta de las cuentas abarcan desde febrero de 1999 hasta el 23 de octubre de 2025. A partir de de septiembre de 2025 los registros nuevos se reducen con claridad, lo que sugiere una extracción escalonada durante varias semanas. Ese calendario encaja con el incidente anterior.
Y no, no hay contraseñas.
Dossier Moncloa: Ojos en la Sombra
La lectura confidencial es otra. El vector de amenaza no es una sola base filtrada, sino la economía de la reventa selectiva. Quien compra este lote no busca titulares; busca capacidad de suplantación. Un suscriptor de Vogue o de GQ puede recibir un mensaje que use su nombre, su dirección y su relación con la cabecera. Eso convierte una falsa renovación o un cargo de reembolso en algo mucho más creíble que el spam común.
Las agencias implicadas no son estatales en este caso. El atacante es el cibercriminal conocido como Lovely, según el vínculo con el incidente de WIRED, y el defensor es Condé Nast, que no ha emitido confirmación oficial. Los terceros que miran me interesan más: el CCN-CERT y los equipos de ciberseguridad de grandes editoriales en España siguen este patrón porque los datos de consumo sirven para campañas de phishing contra objetivos de alto perfil.
Estimo que el material es sensible pero no clasificado. No hay contraseñas ni material de Estado, pero los datos personales de millones de lectores alimentan campañas de credenciales y fraudes por correo físico. La atribución del vendedor sigue sin prueba técnica cruzada, y conviene mantener la cautela sobre si es realmente el autor original o un revendedor.
Le pongo en contexto: no me consta que el CCN-CERT o el INCIBE hayan emitido aviso sobre esta base, y tampoco que Condé Nast haya remitido notificación alguna a la AEPD. Aun así, si usted está suscrito a Vogue, GQ, WIRED o The New Yorker, trate con desconfianza los mensajes sobre renovaciones, incidencias de pago o verificación de cuenta. Entre directamente en la web de la publicación, sin pulsar enlaces de correos o SMS.
Lo veo así: la brecha de Condé Nast enseña más sobre el mercado que sobre la tecnología. Un atacante liberó una parte pequeña en diciembre para demostrar que los datos eran reales. Ahora guarda el resto hasta que aparezca un comprador. El público ve una filtración; el mercado criminal ve inventario.
