Un hacker asegura tener los datos de todos los pensionistas españoles, esto es lo que se sabe

• Nacho Grosso @grosso_nacho
• Cádiz (1973) Redactor y editor especializado en tecnología. Escribiendo profesionalmente desde 2017 para medios de difusión y blogs en español.
• • 06/08/2026 19:00
  • Actualizado: 06/08/2026 19:00

A finales de julio apareció en un conocido foro de ciberdelincuencia una publicación que afirma contener datos personales de millones de pensionistas españoles, supuestamente extraídos del Instituto Nacional de la Seguridad Social. El medio especializado Cybernews recogió la denuncia el 31 de julio y actualizó la información el 3 de agosto tras analizar una muestra de los registros filtrados.

Lo que el atacante dice haber robado

Según la publicación, el conjunto de datos supera los tres millones de registros y procede del INSS, el organismo que gestiona pensiones, bajas por enfermedad y permisos de maternidad y paternidad en nuestro país. La muestra examinada contenía números de DNI, nombres completos, fechas de nacimiento, IBAN parciales, domicilios e información de contacto. El presunto atacante afirma haber usado una herramienta llamada TerciosRAT, un troyano de acceso remoto que, a diferencia del ransomware, no cifra archivos sino que da control encubierto y persistente sobre un dispositivo infectado. También asegura haber intentado extorsionar al organismo antes de decidirse a vender los datos abiertamente.

Qué hacer si eres pensionista y te preocupa estar afectado

Mientras no haya confirmación oficial, la recomendación más razonable es extremar la prudencia ante cualquier llamada, SMS o correo que diga venir de la Seguridad Social y pida verificar datos personales o bancarios, un tipo de fraude que se dispara precisamente después de este tipo de filtraciones porque los estafadores usan la información robada para dar credibilidad a sus mensajes.

Ante cualquier duda sobre una comunicación sospechosa, lo más seguro es no facilitar ningún dato y comprobar la situación directamente a través de la sede electrónica oficial de la Seguridad Social, sin usar los enlaces que puedan llegar por mensaje. Si se recibe un intento de fraude que utilice datos personales reales, también se puede notificar al Instituto Nacional de Ciberseguridad, el organismo público de referencia para este tipo de incidentes en España.

De momento, el caso no deja de ser una presunta filtración, respaldada por con cierta verosimilitud, pero no por ninguna confirmación del organismo afectado, que de momento no se ha pronunciado. Habrá que esperar a que el INSS se manifieste, algo que hasta la fecha de esta publicación no ha ocurrido, para saber si el volumen y el alcance real del incidente coincide con lo que asegura el atacante. Precedentes similares, como el ataque a la DGT, ponen de manifiesto que la ciberseguridad sigue siendoi la gran asignatura pendiente de las administraciones públicas españolas.