Un hacker contradice la versión oficial de PcComponentes y aporta pruebas de un acceso a sistemas internos

La polémica por la supuesta filtración de datos de PcComponentes ha escalado tras las declaraciones de un hacker que afirma haber tenido acceso directo a sistemas internos de la compañía. Inicialmente, la empresa negó un acceso ilegítimo a sus bases de datos y atribuyó lo ocurrido a un caso de credential stuffing, es decir, reutilización de combinaciones de correo y contraseña procedentes de filtraciones externas. Sin embargo, en el mismo comunicado reconocía que podían haberse visto expuestos datos personales como nombre, apellidos, DNI, dirección, IP, correo electrónico y teléfono.

El hacker, conocido como daghetiaw, ha rebatido públicamente esa versión asegurando que no se trató solo de accesos mediante credenciales reutilizadas, sino de una intrusión más profunda. Como respaldo a sus afirmaciones, ha difundido capturas de pantalla y referencias a credenciales internas que, según él, permitirían acceder a paneles de administración, sistemas de soporte, herramientas de gestión logística, recursos humanos y seguimiento de pedidos. También sostiene haber tenido acceso a chats internos de soporte y a servicios de terceros integrados en el ecosistema de la empresa.

Estas pruebas no confirman de forma definitiva la cifra inicial de 16,3 millones de cuentas afectadas, un número que PcComponentes matizó posteriormente al hablar de usuarios activos y no de cuentas totales. No obstante, el escenario descrito por el atacante contradice de forma directa el mensaje tranquilizador de la compañía y apunta a posibles fallos de seguridad adicionales, como APIs mal protegidas o vulnerabilidades XSS en portales internos.

Para los usuarios, el impacto práctico es limitado, ya que la exposición de datos personales aumenta el riesgo de suplantación de identidad y fraude, algo habitual tras filtraciones similares en otras empresas. Para PcComponentes, en cambio, el problema es reputacional y regulatorio, ya que podría verse obligada a realizar una investigación forense más profunda, rotar credenciales, notificar a las autoridades competentes y ofrecer explicaciones técnicas verificables que aclaren el alcance real del incidente.