Intrusión en Starbucks expone datos de 889 empleados a través de phishing con páginas falsas

Starbucks notificó recientemente a un grupo de sus trabajadores sobre una intrusión que afectó las cuentas de Partner Central, la plataforma que usan los empleados para gestionar información laboral y beneficios. En los documentos presentados ante la fiscal general de Maine y remitidos a las personas afectadas, la compañía explica que la investigación conjunta con expertos externos determinó que los atacantes obtuvieron credenciales a través de sitios web que simulaban la página de acceso, y con ellas accedieron a cuentas internas.

La investigación identificó 889 cuentas de Partner Central comprometidas, y Starbucks informa que las credenciales fueron utilizadas entre el 19 de enero y el 11 de febrero, aunque la empresa asegura que detectó actividad sospechosa el 6 de febrero. Esa diferencia entre la detección y la remoción completa de los accesos —cinco días en los que los atacantes mantuvieron presencia según los registros— es una de las incógnitas que quedan sin aclarar en la comunicación pública de la compañía. Puede consultarse la notificación presentada en Maine en el portal de la fiscalía: documento oficial, y la plantilla del aviso enviada a los empleados está disponible en DocumentCloud.

Aunque 889 cuentas representan una fracción pequeña frente a la plantilla global de Starbucks —la empresa emplea a más de 380.000 «partners» y opera decenas de miles de locales en todo el mundo—, el alcance del material filtrado es sensible. Los datos expuestos incluyen nombres, números de Seguridad Social, fechas de nacimiento y números de cuenta y de ruta bancaria, información que puede facilitar fraudes financieros y usurpación de identidad si cae en malas manos.

Starbucks comunicó que alertó a las fuerzas de seguridad y que ofrecerá a las personas afectadas dos años de protección contra robo de identidad y supervisión de crédito mediante Experian IdentityWorks. La medida de cobertura crediticia es habitual tras incidentes de este tipo, pero no evita que las víctimas deban estar atentas a movimientos financieros inusuales o intentos de fraude que puedan surgir en los meses siguientes. Más información sobre cómo actuar en caso de sospecha de robo de identidad puede encontrarse en la guía de la Comisión Federal de Comercio de Estados Unidos: IdentityTheft.gov.

Según la propia investigación mencionada en la notificación, los piratas no explotaron una vulnerabilidad técnica del sistema, sino que se aprovecharon de credenciales comprometidas obtenidas a través de páginas fraudulentas que imitaban al portal de empleados. Este tipo de técnica, conocida como phishing con páginas de inicio de sesión falsas, sigue siendo una de las vías de entrada más eficaces para los delincuentes. Las autoridades y centros de ciberseguridad recomiendan medidas como la verificación de URLs, la formación en detección de correos maliciosos y el uso de autenticación multifactor para reducir la eficacia de estos ataques; la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ofrece orientación práctica sobre este riesgo: recomendaciones contra phishing.

Este incidente se suma a antecedentes problemáticos para el grupo: en 2022, la filial de Singapur confirmó una filtración que afectó a cientos de miles de clientes cuando un proveedor tercero fue comprometido, y en 2024 la cadena sufrió impactos colaterales por un ataque de ransomware contra Blue Yonder, su proveedor de software de cadena de suministro, que interrumpió operaciones en algunos puntos. Un resumen de la afectación por la interrupción a raíz del ataque a proveedores se puede leer en el informe de noticias internacional: cobertura de Reuters.

Para las personas afectadas la recomendación inmediata es doble: por un lado, vigilar con atención los extractos bancarios y notificar al banco cualquier cargo no autorizado; por otro, reforzar las credenciales personales vinculadas a servicios críticos y activar la autenticación en dos pasos siempre que sea posible. Aunque la compañía ofrezca servicios de monitoreo, la prevención y la respuesta temprana individual siguen siendo fundamentales.

Desde una perspectiva organizativa, este caso vuelve a subrayar por qué es necesario no depender únicamente de contraseñas. La implementación de controles más estrictos de acceso, la detección rápida de patrones inusuales y la eliminación ágil de credenciales comprometidas son medidas que reducen el tiempo que un atacante puede moverse dentro de un entorno. Starbucks indicó que, tras el incidente, fortaleció controles relacionados con el acceso a Partner Central, pero la empresa no entregó un cronograma detallado ni explicaciones sobre por qué la remoción total del acceso no fue inmediata.

En el terreno de las comunicaciones, las compañías que manejan datos personales de gran volumen tienen la obligación legal y ética de notificar a las autoridades y a los afectados con transparencia y prontitud. Los documentos que Starbucks presentó en Maine permiten a los empleados conocer el tipo de información comprometida y las medidas ofrecidas por la empresa, pero la confianza se construye también con respuestas claras sobre causas, alcance y mejoras permanentes en seguridad.

En definitiva, aunque el número de cuentas comprometidas en este episodio sea limitado en proporción a la plantilla global, la sensibilidad de los registros implica riesgos reales para los trabajadores y plantea preguntas sobre detección y remediación. El caso de Starbucks recuerda que incluso organizaciones con recursos amplios siguen siendo objetivos atractivos y que la naturaleza humana —la facilidad con la que una credencial puede ser cedida a un sitio falso— continúa siendo el eslabón más débil en la cadena de ciberseguridad.

Para quienes quieran profundizar en los documentos oficiales y en las noticias relacionadas, pueden revisar la notificación en la fiscalía de Maine (ver documento), la plantilla de aviso en DocumentCloud, la cobertura sobre interrupciones por ataques a proveedores en Reuters, y recursos para víctimas de robo de identidad en IdentityTheft.gov. Asimismo, las directrices sobre cómo prevenir el phishing están disponibles en la web de la CISA: consejos contra el phishing.