Una base de datos sin contraseña ni autenticación vinculada a Vibetech, empresa india de desarrollo de software con IA y servicios IT, quedó expuesta en línea con 13,7 millones de registros que incluyen credenciales y datos sensibles provenientes de brechas previas, según informó el investigador de ciberseguridad Jeremiah Fowler.
El hallazgo fue publicado por ExpressVPN a partir del trabajo de Fowler, quien identificó el repositorio accesible públicamente sin ninguna medida de control de acceso. Los registros contenían, según se informó, credenciales filtradas en incidentes anteriores —un patrón conocido como “breach compilation”— además de otra información sensible cuya naturaleza exacta no fue completamente detallada en la divulgación inicial. La fecha de exposición y el tiempo que el repositorio estuvo accesible no fueron confirmados de manera precisa al momento del reporte.
Datos confirmados al 15 de octubre de 2026
- 13,7 millones de registros expuestos en total
- Empresa responsable: Vibetech, con sede en India, dedicada al desarrollo de software con IA y servicios IT
- Tipo de exposición: base de datos accesible sin autenticación ni contraseña
- Contenido confirmado: credenciales y datos sensibles de brechas anteriores (breach compilation)
- Descubridor: Jeremiah Fowler, investigador independiente de ciberseguridad
- Divulgación publicada por: ExpressVPN
Qué se sabe y qué falta confirmar
Hasta el momento de la publicación, no se confirmó si Vibetech fue notificada antes de la divulgación pública, ni si la base de datos fue cerrada de forma inmediata tras el hallazgo. Tampoco se precisó si los 13,7 millones de registros corresponden a usuarios únicos o incluyen duplicados, un dato crítico para evaluar el alcance real del impacto. Se desconoce si los datos expuestos corresponden a clientes de Vibetech, a usuarios de terceros cuyos datos la empresa procesaba, o si se trata de un repositorio de inteligencia sobre brechas previas utilizado internamente. La ausencia de autenticación sugiere una falla en los controles básicos de configuración de infraestructura —no necesariamente un ataque externo—, aunque esta distinción no ha sido confirmada oficialmente. Desde el ángulo de la gobernanza de datos, el incidente expone una falla de ownership: cuando una base de datos que contiene datos de brechas previas queda sin un data steward asignado que supervise su clasificación y acceso, el riesgo de exposición accidental se multiplica, independientemente de la intención.
Para las organizaciones latinoamericanas que contratan servicios de desarrollo de software con proveedores offshore —un modelo cada vez más frecuente en Argentina, México, Colombia y Brasil—, este caso activa obligaciones concretas bajo marcos locales. La Ley 25.326 argentina exige que los responsables de bases de datos garanticen medidas de seguridad adecuadas; si un proveedor externo procesa datos por encargo y los expone, la responsabilidad puede recaer también sobre el comitente local. En México, la LFPDPPP y su Reglamento establecen obligaciones equivalentes para los encargados del tratamiento. La LGPD brasileña, por su parte, requiere notificación a la ANPD en casos de incidentes que puedan acarrear riesgo relevante a los titulares, con plazos que no superan los tres días hábiles desde que el controlador toma conocimiento.
El próximo hito crítico es la confirmación por parte de Vibetech —o de la autoridad competente india, el MeitY— sobre si la base de datos fue cerrada y si se activaron protocolos de notificación hacia los afectados o las organizaciones cuyos datos fueron procesados.
