- El FBI y CISA alertan de ciberataques activos contra sistemas de refrigeración en todo el mundo
- Golpe a las criptomonedas: Binance alerta de un ciberataque con 6.300 millones de dólares comprometidos
Smartbox ha confirmado un ciberataque detectado el 3 de noviembre de 2026 que ha afectado a una de sus plataformas. La empresa ha enviado un correo a sus clientes para advertir del posible acceso a nombres y direcciones de correo electrónico, aunque descarta que se hayan visto comprometidos contraseñas o datos de tarjetas de pago. Repasamos qué ha pasado, qué datos están en juego y cómo protegerte de un posible phishing.
El aviso llegó a las bandejas de entrada de los clientes bajo el asunto «Información importante». En el mensaje, la compañía reconoce que actuó de inmediato para frenar nuevos accesos no autorizados y que ha abierto una investigación completa, notificando el incidente a las fuerzas de seguridad y a la Comisión de Protección de Datos.
Qué ha pasado con el ciberataque a Smartbox
El 3 de noviembre de 2026, Smartbox detectó un acceso no autorizado a una de sus plataformas. La empresa no ha precisado qué sistema fue el objetivo del ataque, pero asegura que actuó de inmediato para proteger su infraestructura y evitar nuevos accesos no autorizados.
La compañía hizo pública la brecha mediante un correo electrónico enviado a sus clientes, en el que asume lo ocurrido y detalla los pasos que está dando para contener la situación. Según explica en su comunicado, ha iniciado una investigación completa sobre el alcance del incidente y la ha trasladado a las autoridades competentes, un proceso que sigue abierto mientras revisa los sistemas afectados y refuerza los controles de acceso para evitar que el problema se repita.
Os dejamos una captura de pantalla con el correo que hemos recibido:
Qué datos han quedado expuestos en el hackeo de Smartbox
La investigación abierta por Smartbox apunta a que el atacante pudo acceder a ciertos datos personales de los clientes, aunque no a toda la información que maneja la plataforma. La empresa distingue con claridad qué información está en riesgo y cuál se mantiene a salvo, una separación clave para que los usuarios sepan si deben extremar precauciones.
Esta distinción permite a los clientes decidir si necesitan vigilar sus cuentas de correo o sus movimientos bancarios con más atención. Según el comunicado, la revisión del incidente sigue en marcha mientras la compañía confirma el alcance exacto de los datos comprometidos y evalúa si existen más sistemas afectados aparte de la plataforma donde se detectó el acceso. Puedes ver la página de FAQ de Smartbox donde hablan de este incidente.
Nombres y correos electrónicos: lo que podría estar expuesto
Los datos que podrían haberse visto comprometidos se limitan a información básica de identificación y contacto. La empresa habla de «algunos datos personales», una expresión que en su aviso concreta en dos elementos: el nombre de los clientes y su dirección de correo electrónico.
Esta combinación de nombre y correo es precisamente la que utilizan los ciberdelincuentes para lanzar campañas de phishing personalizadas: incluir el nombre real del destinatario genera más confianza que un mensaje genérico y facilita que el fraude cite compras o promociones reales de la empresa para ganarse la confianza de la víctima. Ningún dato financiero forma parte de esta exposición, aunque conviene no bajar la guardia ante mensajes que parezcan proceder de Smartbox.
Tarjetas de pago y contraseñas: lo que Smartbox dice que no se tocó
Para tranquilizar a los clientes sobre sus cuentas bancarias y sus accesos, Smartbox afirma que el atacante no llegó a la información más sensible de los perfiles: las tarjetas de pago y las contraseñas quedaron fuera del alcance del incidente, según la propia compañía.
Esta precisión importa porque el principal temor tras una brecha de este tipo suele ser el robo de credenciales o de datos financieros, mucho más explotable que un nombre o una dirección de correo.
Mientras continúa la investigación abierta tras el ataque, Smartbox mantiene la recomendación de vigilancia activa para sus clientes, centrada sobre todo en detectar intentos de phishing que aprovechen los datos de contacto filtrados.
Qué debes hacer si recibes el aviso
Smartbox indica en su correo que no es necesario actuar de forma inmediata, pero pide a sus clientes que permanezcan alerta. El riesgo principal tras una brecha de este tipo es el phishing, ya que los ciberdelincuentes pueden usar los datos robados para enviar mensajes fraudulentos muy personalizados.
Los pasos prácticos que recomienda la propia empresa son estos:
- Desconfiar de correos, llamadas o mensajes que soliciten información personal o datos de pago.
- No pulsar ningún enlace si recibes un mensaje sospechoso que diga ser de Smartbox.
- Contactar directamente con la empresa a través del correo oficial info.spain@smartbox.com o consultando sus preguntas frecuentes.
Como precaución adicional, revisa tu bandeja de entrada con atención en los próximos días y activa la verificación en dos pasos en tu correo electrónico principal, para evitar que los atacantes puedan acceder a él si reutilizas contraseñas entre distintos servicios.
Cómo reconocer un phishing que suplante a Smartbox
Es previsible que, aprovechando este aviso real, empiecen a circular correos falsos que se hagan pasar por Smartbox. La compañía recuerda que nunca pedirá la contraseña de la cuenta ni los datos de la tarjeta de pago por correo electrónico, así que cualquier mensaje que lo haga debe tratarse como un fraude.
Las señales que suelen delatar un intento de estafa son estas:
- Sensación de urgencia o amenazas de bloqueo de cuenta.
- Enlaces acortados o que dirigen a dominios extraños.
- Un remitente que no coincide con el dominio oficial de la compañía.
- Adjuntos inesperados.
Si recibes un mensaje dudoso, no respondas, no abras enlaces y verifica la información por el canal oficial antes de interactuar con él. Comprobar la URL exacta del remitente y evitar introducir cualquier dato en formularios enlazados desde el correo son gestos sencillos que reducen notablemente el riesgo de caer en la trampa.
Qué es Smartbox y por qué puede llegarte este aviso
Smartbox es una empresa de cajas regalo de experiencias, conocida por ofrecer packs para canjear actividades como viajes, cenas o planes de aventura. Sus clientes no son solo quienes compran la caja, sino también quienes la reciben como regalo y canjean la experiencia en la plataforma, lo que multiplica el número de personas que pueden recibir un aviso como este.
El correo de alerta remite a los clientes a la dirección info.spain@smartbox.com como canal de soporte y atención al cliente para resolver dudas sobre el incidente, aunque la compañía no ha precisado desde qué dirección se realizó el envío masivo del aviso. Esta vía de contacto confirma, en cualquier caso, que la notificación alcanza también al mercado español.
Un aviso de este tipo puede alcanzar incluso a quienes compraron o canjearon una caja hace tiempo, ya que las plataformas de comercio electrónico suelen conservar los datos de contacto de sus usuarios mientras la cuenta permanece activa o por obligaciones de facturación y garantía.
Medidas de Smartbox tras el ciberataque: investigación y autoridades
Tras detectar la intrusión, Smartbox abrió una investigación completa para determinar el alcance exacto del ataque y notificó el incidente a las autoridades competentes, citando expresamente a la Comisión de Protección de Datos y a las fuerzas de seguridad en su comunicado enviado a los clientes.
Además, la empresa está revisando las medidas de seguridad en todos sus sistemas e implementando salvaguardas adicionales para reducir el riesgo de que se repitan incidentes similares en el futuro. Smartbox no ha concretado un calendario para completar esta revisión ni ha detallado qué sistemas concretos se han reforzado tras el ataque.
En el cierre de su comunicado a los clientes, Smartbox resume su postura con una disculpa directa: «Lamentamos sinceramente la preocupación o las molestias que este incidente haya podido ocasionarte».