Quién está involucrado: Una compañía de seguros del mercado paraguayo cuyo nombre aún no fue revelado por VECERT. Por el volumen de registros expuestos, se trata de una de las aseguradoras más grandes del país. En total, el mercado paraguayo tiene 36 compañías autorizadas por la Superintendencia de Seguros del Banco Central del Paraguay.
Por qué importa: Los datos filtrados permiten armar el perfil completo de cada cliente. Combinados con otras filtraciones que ya circulan, son la materia prima ideal para fraude de identidad, estafas dirigidas y suplantación. Hasta el momento, ningún medio paraguayo informó sobre el incidente y los 288.394 afectados no saben que sus datos están en venta.
https://x.com/VECERTRadar/status/2049093931606901148
Qué se filtró exactamente
VECERT publicó una muestra que permite reconstruir la estructura del archivo. Cada registro contiene cinco campos críticos:
Cédula de identidad (national_id): el número de documento oficial paraguayo. Es la llave que abre todos los sistemas, desde el banco hasta el padrón electoral.
Nombre y apellido completos: vinculados directamente al número de cédula.
Fecha de nacimiento exacta: dato sensible para verificaciones de identidad en bancos, telefónicas y servicios financieros.
Estado de la póliza: si está ACTIVA, INACTIVA o UNKNOWN. Permite saber quién tiene cobertura vigente.
Tipo de registro: marcado como "policyholder" (asegurado titular). Confirma que el dato pertenece al cliente principal de la póliza, no a un familiar adicional.
La combinación es lo que hace peligrosa esta filtración. Cualquiera de los datos por separado tiene utilidad limitada. Los cinco juntos arman un perfil que sirve para fraude.
Cómo pudo haber ocurrido
VECERT no precisó el método de ataque. Los vectores más comunes en filtraciones similares contra aseguradoras en la región son cuatro:
Credenciales filtradas de un empleado: un trabajador con acceso al sistema usa contraseñas reutilizadas en otros servicios. Cuando uno de esos servicios es vulnerado, el atacante prueba esas mismas credenciales contra el sistema interno de la aseguradora y entra sin necesidad de hackear nada.
API expuesta sin autenticación adecuada: las aseguradoras modernas tienen interfaces de programación que conectan apps móviles, portales web y sistemas internos. Si alguna de esas APIs no valida correctamente quién pide la información, un atacante puede descargar la base completa con un script.
Phishing dirigido a personal interno: un correo bien armado convence a un empleado de cargar sus credenciales en un sitio falso. El atacante luego entra con esas credenciales reales.
Proveedor tercero comprometido: las aseguradoras tercerizan procesos como cobranza, call center, gestión de siniestros o envío de comunicaciones. Si uno de esos proveedores es vulnerado, los datos de la aseguradora salen sin que su propio sistema haya sido tocado.
Casos recientes en la región muestran este patrón. En marzo de 2026, Rímac Seguros (Perú) sufrió una filtración similar atribuida al actor AEAwazka, con bypass de doble factor incluido. Confluence Group (España), una correduría con más de 300.000 pólizas, fue vulnerada el 27 de marzo. El sector asegurador es objetivo recurrente porque concentra datos personales, financieros y de salud en un mismo lugar.
Qué riesgos enfrentan los 288.394 clientes
Suplantación de identidad financiera: con cédula, nombre completo y fecha de nacimiento, un estafador puede iniciar gestiones bancarias, pedir préstamos en línea o abrir cuentas en plataformas digitales haciéndose pasar por el titular.
Fraude contra la propia aseguradora: el atacante puede llamar al call center fingiendo ser el cliente, modificar datos de contacto, cambiar cuentas para pago de siniestros o gestionar trámites a nombre del asegurado real.
Phishing de alta precisión: a diferencia del phishing genérico ("estimado cliente"), un mensaje que diga "Sr. [nombre real], su póliza vence el [fecha real], regularice aquí" tiene tasa de clic mucho mayor. Los datos filtrados permiten construir mensajes que parecen reales.
Llamadas telefónicas fraudulentas: el clásico "hola, soy de su aseguradora, necesito confirmar sus datos" se vuelve devastador cuando el estafador ya tiene los datos correctos y solo pide los que le faltan (clave bancaria, código de tarjeta, código de SMS).
Cruce con otras bases filtradas: Paraguay ya tuvo filtraciones masivas previas. Si un atacante cruza esos datos con los de la aseguradora, sabe quién tiene póliza activa, qué tipo de cobertura, y construye perfiles aún más completos para ataques personalizados.
Qué hacer si tenés póliza activa con cualquier aseguradora paraguaya
Mientras no se confirme el nombre de la empresa afectada, lo prudente es asumir que cualquiera podría estar en la lista. Cinco acciones concretas:
1. Activá alertas en tus cuentas bancarias. La mayoría de los bancos permiten configurar notificaciones por SMS o app ante cualquier movimiento. Si no las tenés activadas, hacelo hoy.
2. No respondas mensajes que mencionen tu cédula o tu póliza. Si recibís un correo, SMS o llamada con datos personales que parecen reales, no es prueba de legitimidad. Es prueba de que tus datos están filtrados. Cortá la comunicación y llamá vos directamente al número oficial de tu aseguradora.
3. Cambiá las contraseñas de tu portal de cliente. Si tu aseguradora tiene app o portal web, cambiá la contraseña por una nueva, larga y única. No reutilices.
4. Activá doble factor de autenticación donde puedas. En el banco, en el correo, en cualquier servicio crítico. Aunque tus datos personales estén filtrados, el doble factor frena la mayoría de los intentos de acceso fraudulento.
5. Pedí a tu aseguradora un comunicado oficial. Llamá al servicio de atención al cliente y preguntá si tu empresa fue afectada por la filtración del 28 de abril. La respuesta que recibas, o la falta de respuesta, ya es información valiosa.
Antecedentes
Las filtraciones contra el sector asegurador en América Latina vienen acelerándose. En marzo de 2026, Rímac Seguros, la principal aseguradora de Perú, sufrió la exposición de más de 3.000 registros de clientes corporativos y personales, junto con un método para evadir el doble factor de autenticación. Días después, la española Confluence Group vio expuestas más de 300.000 pólizas y registros de clientes, incluyendo cuentas bancarias internacionales (IBAN). En México, el IMSS sufrió una filtración de 1,8 terabytes de información del sector salud y seguros.
VECERT Analyzer, la plataforma que reportó este caso paraguayo, opera desde 2025 y es citada habitualmente por medios de Colombia, Ecuador, Guatemala, Brasil y Venezuela cuando alertan sobre brechas de datos. Su metodología se basa en monitoreo de foros de cibercrimen y dark web. Sus reportes deben tomarse como señal de alerta inicial, no como confirmación definitiva, dado que la organización aún no cuenta con respaldo institucional internacional consolidado.
Situación actual
Al cierre de este artículo:
- VECERT Analyzer no identificó públicamente a la aseguradora afectada (figura como "TBC", a confirmar).
- Ningún medio paraguayo cubrió la noticia.
- La Superintendencia de Seguros del Banco Central del Paraguay no emitió pronunciamiento.
- La Comisión Nacional de Ciberseguridad y el Mitic tampoco se manifestaron.
- Los 288.394 clientes afectados desconocen que sus datos están a la venta en BreachForums.
Lo que esperamos que pase
Que la aseguradora afectada se identifique en las próximas horas y emita un comunicado oficial. Que notifique individualmente a los 288.394 clientes. Que la Superintendencia de Seguros active el protocolo de supervisión y pida explicaciones. Que los demás actores del mercado revisen sus propios sistemas antes de aparecer en el siguiente reporte. Que los clientes afectados tomen las cinco medidas de protección personal sin esperar a que les digan que tienen que hacerlo.
Lo que no debe pasar
Que la noticia se diluya por silencio mediático. Que los 288.394 afectados se enteren cuando alguien pida un préstamo a su nombre. Que la respuesta sea un comunicado tibio sin notificación individual. Que el incidente quede como un dato más en una sucesión de filtraciones que ya nadie cuenta.
Conclusión
288.394 personas confiaron sus datos a una empresa para sentirse cubiertas frente a un riesgo. Hoy esos datos circulan en un foro de cibercrimen y la mayoría no lo sabe. La filtración técnica ya ocurrió y no tiene vuelta atrás. Lo que sí tiene vuelta atrás es lo que viene después: si los clientes reciben información clara, si la empresa se hace cargo, y si el resto del mercado aprende antes de ser el siguiente.
Por ahora, el silencio.
Fuentes
- VECERT Analyzer (@VECERTRadar), publicación del 28 de abril de 2026
- BreachForums, foro de la dark web donde se publicó la base de datos
- Securityaffairs, Bankinfosecurity, Resecurity (cobertura previa de filtraciones en Paraguay)
- Banco Central del Paraguay, Superintendencia de Seguros (registro de aseguradoras autorizadas)
- La Nación (datos de mercado asegurador paraguayo período 2025/2026)
- Cobertura regional de VECERT en Infobae, La Hora (Guatemala), Extra (Ecuador), El Estímulo (Venezuela)