HYBE, la agencia musical surcoreana detrás de BTS, confirmó una brecha de datos que expuso información sensible de empleados actuales, exempleados y socios comerciales, incluyendo números de registro de residencia, números de tarjetas de crédito y registros médicos, según se informó el 2 de noviembre de 2026.
La compañía publicó una disculpa en su sitio web el 18 de octubre, tras detectar acceso no autorizado a sus sistemas durante una auditoría interna de seguridad. El incidente afecta datos de alta sensibilidad: los números de registro de residencia son el equivalente surcoreano del documento nacional de identidad y su exposición habilita riesgos graves de suplantación de identidad. La información financiera comprometida incluye números de tarjetas de crédito de personas vinculadas a la empresa.
Datos confirmados: categorías expuestas, empleados actuales y ex colaboradores
- Números de registro de residencia (RRN) — identificador nacional único en Corea del Sur
- Números de tarjetas de crédito de empleados y socios
- Registros médicos del personal
- Afectados: empleados actuales, exempleados y socios comerciales
- Detección: inspección interna de seguridad de HYBE
- Divulgación pública: 18 de octubre de 2026 vía comunicado en el sitio oficial
Qué se sabe y qué falta confirmar sobre el alcance del ataque
Hasta el momento no se ha confirmado públicamente el vector de ataque, la cantidad exacta de personas afectadas ni si los datos fueron exfiltrados o simplemente accedidos. Tampoco se conoce si algún actor externo ya comercializó o publicó la información comprometida. La Comisión de Protección de Información Personal de Corea del Sur (PIPC), autoridad de control equivalente a las agencias de protección de datos de la región, no había emitido pronunciamiento público al momento de la publicación de esta nota, según se informó. En Corea del Sur, la Ley de Protección de Información Personal (PIPA) exige notificación a los afectados sin demora injustificada ante brechas que comprometan datos sensibles, categoría que incluye registros médicos e identificadores únicos.
Para organizaciones en América Latina, la analogía es directa: en Argentina, la Ley 25.326 y la Disposición AAIP 4/2019 obligan a notificar incidentes de seguridad a la Agencia de Acceso a la Información Pública; en Brasil, la LGPD (Lei 13.709/2018) establece plazos de notificación a la ANPD dentro de un “prazo razoável”, con referencia operativa de 72 horas según orientación de la autoridad; en México, la LFPDPPP exige notificar a los titulares afectados. La exposición simultánea de datos de salud, identidad y financieros — las tres categorías de mayor riesgo en cualquier marco de protección de datos de la región — eleva la gravedad del incidente a su nivel máximo bajo todas esas normativas.
El próximo hito clave es la eventual comunicación formal de HYBE a los afectados y cualquier pronunciamiento de la PIPC sobre sanciones o medidas correctivas, ninguno de los cuales había sido confirmado al cierre de esta nota.
