Este artículo va dirigido a: cualquier persona que use o se haya registrado alguna vez en CHAEVI (채비), una app surcoreana de carga para vehículos eléctricos; las personas que conducen vehículos eléctricos en cualquier lugar y quieren saber qué puede exponer la filtración de una app de carga; y los desarrolladores y operadores de pequeñas plataformas que gestionan datos de usuarios. Este artículo se basa en los avisos que CHAEVI publicó en su propio sitio web y no describe métodos de ataque.
Qué deben hacer ahora los usuarios
Compruebe usted mismo si está afectado entrando en el sitio de CHAEVI
El aviso de CHAEVI dice que los datos filtrados varían según la persona y que se pueden consultar en su página de «consulta de filtración de datos personales». No use un enlace de consulta que llegue por correo o mensaje. Escriba chaevi.com en su navegador usted mismo, o entre por la app de CHAEVI que ya tenga instalada. Los mensajes que ofrecen «comprobar si sus datos se filtraron» son un pretexto habitual para enlaces falsos.
Cambie su contraseña, empezando por los servicios donde la reutilizó
El aviso de CHAEVI del 26 de julio pidió a los usuarios que cambiaran su contraseña de inmediato, y su seguimiento del 30 de julio recomendó que, si usa la misma contraseña o una parecida en otro sitio, la cambie también allí. El correo electrónico y la contraseña (cifrada) se filtraron juntos en 131.411 + 829 registros.
El orden recomendado es cuenta de correo electrónico → banca y pagos → todo lo demás, porque quien controla su correo puede restablecer las contraseñas de sus otros servicios.
La forma realista de usar una contraseña distinta en todas partes es un gestor de contraseñas; para proteger su cuenta de correo, consulte cómo elegir bien la autenticación multifactor.
Verifique cualquier correo, mensaje o llamada de CHAEVI a través de la app o del servicio de atención al cliente
CHAEVI afirma que nunca le pedirá su contraseña, información financiera ni códigos de verificación por teléfono, mensaje o correo electrónico. Su recomendación es no abrir enlaces ni archivos adjuntos de mensajes o correos de remitentes poco claros, y no instalar apps cuando se lo pidan.
Si una llamada o un mensaje que dice venir de CHAEVI o de un organismo público le parece sospechoso, no devuelva la llamada al número de origen; contacte directamente con el servicio de atención al cliente de CHAEVI en el 1522-2573 (24 horas). Las claves para detectar el phishing están en qué es el phishing.
Denuncie el spam, el smishing y las llamadas comerciales no solicitadas
CHAEVI pide a los usuarios que reciban ofertas de productos no solicitadas (telemarketing ilegal) o mensajes de spam y smishing que los denuncien ante el 118 (Centro de Denuncias de Infracciones de Información Personal de Corea) o ante CHAEVI.
Los canales de denuncia y consulta que recomienda el gobierno surcoreano, y qué hacer si ya hizo clic en un enlace, se explican, basándose en el aviso de seguridad del Ministerio de Ciencia y TIC, en nuestro artículo sobre qué deben hacer los usuarios de TVING tras la filtración. Los mismos pasos se aplican aquí.
Si sufrió algún perjuicio, guarde pruebas y contacte con las oficinas de ayuda
El aviso de CHAEVI dice que, hasta ahora, no se ha confirmado ningún caso de daño secundario. Aun así, si una suplantación le hizo perder dinero, o sospecha que así fue, guarde capturas de pantalla de los correos o mensajes en lugar de borrarlos, e infórmelo al servicio de atención al cliente de CHAEVI.
Para reparaciones o asesoramiento, CHAEVI remite al Comité de Mediación en Disputas de Información Personal de Corea (1833-6972) y al Centro de Denuncias de Infracciones de Información Personal (118).
Los falsos mensajes de «cargo por carga impagado» y «puntos a punto de caducar» son difíciles de distinguir de los reales
Las personas que conducen vehículos eléctricos reciben con frecuencia mensajes sobre pagos de carga, tarjetas de socio y cambios de precios en itinerancia. Una vez que se sabe que es «cliente de CHAEVI» junto con su dirección de correo electrónico, como ahora puede ocurrir, los correos sobre el pago de una deuda, la caducidad de puntos de carga, la reemisión de la tarjeta de socio o la reclamación de una compensación por la filtración se vuelven difíciles de distinguir de los auténticos.
Este sitio recomienda una sola regla: ante cualquier mensaje que le pida pagar o iniciar sesión, no juzgue si es real por su contenido; abra usted mismo la app y compruebe si el mismo aviso aparece allí.
Qué pasó (según los avisos de CHAEVI)
Lo que sigue es lo que CHAEVI escribió en dos avisos de su sitio web: «Aviso y disculpa por el incidente de filtración de datos personales» (26 de julio de 2026) y «Aviso adicional sobre la filtración de datos personales» (30 de julio).
Alrededor de enero de 2025
Mientras investigaba el incidente de julio, CHAEVI detectó que también se habían filtrado, alrededor de esta fecha, el nombre del cliente, la dirección, el número de contacto y el número de móvil (todos cifrados), la fecha de creación de los datos y el número de secuencia de los datos (seguimiento del 30 de julio). Las circunstancias, los datos y el alcance se investigan con una organización especialista externa.23 de julio de 2026
Datos personales filtrados en un ataque externo ilegal de hackeo. CHAEVI afirma que bloqueó la vía de ataque en cuanto tuvo conocimiento.26 de julio
CHAEVI publica en su sitio web la filtración y su alcance (298.333 registros en total), y dice que lo ha notificado a la Comisión de Protección de Información Personal y a la Agencia Coreana de Internet y Seguridad (KISA). Incluye enlaces a una consulta de filtración y a una página para cambiar la contraseña.Finales de julio
Avisos individuales a los clientes afectados (fechados el 27 de julio en el primer aviso y el 26 de julio en el seguimiento).30 de julio
Aviso de seguimiento: CHAEVI dice que lo ha notificado a la Comisión de Protección de Información Personal, a la KISA, a la Comisión de Servicios Financieros, al Servicio de Supervisión Financiera y a las autoridades investigadoras, y da a conocer la filtración de enero de 2025.
No está en la lista de datos filtrados del aviso: historial de carga · ubicación de estaciones · información del vehículo · datos de pago
- Total
- 298.333 registros. Los datos filtrados varían según la persona
- En todos los registros
- Dirección de correo electrónico (no marcada como cifrada)
- En algunos registros
- Contraseña (cifrada), nombre (cifrado), número de contacto (cifrado), sexo, fecha de nacimiento, número de secuencia de miembro, fecha de registro
- Explicación de CHAEVI
- La información marcada como «cifrada» se almacena y gestiona con un cifrado unidireccional que no puede descifrarse, por lo que su contenido real no puede leerse desde el exterior, aunque se filtre
- No filtrado
- Números de registro de residente, números de pasaporte y datos de pago como números de tarjeta y de cuenta. CHAEVI afirma que no los recopila ni los conserva y confirmó mediante comprobaciones repetidas que no se filtraron
- Aparte (alrededor de enero de 2025)
- Nombre del cliente (cifrado), dirección (cifrada), número de contacto (cifrado), número de móvil (cifrado), fecha de creación de los datos y número de secuencia de los datos. Circunstancias, datos y alcance bajo investigación
- Respuesta de CHAEVI
- Bloqueó la vía de intrusión y corrigió la vulnerabilidad; revisó la separación de redes y los cortafuegos; amplió el cifrado; reforzó el control de accesos; monitorización las 24 horas; investiga la causa y prepara medidas de prevención con una organización especialista externa
Las apps de carga pueden registrar cuándo y dónde estuvo su coche: ¿se filtró esta vez?
Una app de carga para vehículos eléctricos puede guardar un tipo de datos distinto al de una app de compras corriente. Qué estación, a qué hora y cuánto cargó compone un mapa de sus desplazamientos diarios. Un registro de carga cada noche en un cargador lento cerca de casa equivale, en la práctica, a su domicilio y a la hora a la que regresa. Por eso, la primera pregunta ante cualquier filtración en una plataforma de carga es: «¿se incluyó el historial de carga?».
En la lista de datos filtrados de los avisos
- Dirección de correo electrónico (en los 298.333 registros)
- Contraseña (cifrada, 132.240 registros)
- Nombre y número de contacto (cifrados), sexo, fecha de nacimiento, número de secuencia de miembro, fecha de registro (2.064 registros)
- Incidente de enero de 2025: dirección (cifrada) y más; alcance bajo investigación
Fuera de la lista
- Historial de carga, ubicación de estaciones, información del vehículo (no aparecen en la lista, pero no se declara explícitamente que «no se filtraron»)
- Números de registro de residente y de pasaporte (no recopilados ni conservados; lo afirma CHAEVI)
- Datos de pago como números de tarjeta y de cuenta (no recopilados ni conservados; lo afirma CHAEVI)
Hay una distinción importante. Lo que CHAEVI afirma explícitamente que no recopila ni conserva, y por tanto no se filtró, son los números de registro de residente, los números de pasaporte y los números de tarjeta y de cuenta. Los avisos no dicen nada específico sobre el historial de carga ni sobre la ubicación; esos datos simplemente no aparecen en la lista de datos filtrados. Basándose en los avisos, este sitio solo puede afirmar lo siguiente: «el historial de carga no se ha revelado como dato filtrado».
El incidente de enero de 2025 sí incluye la dirección (cifrada), pero se trata del campo de dirección de los registros de clientes, no de ubicaciones de carga, y su alcance aún no se ha revelado. Actualizaremos este artículo cuando la investigación publique resultados.
Qué protege y qué no protege el «cifrado»
CHAEVI afirma que los nombres, los números de contacto y las contraseñas se cifraron con un método unidireccional que no puede descifrarse, por lo que «no pueden usarse para identificar a personas ni para iniciar sesión». En general, «unidireccional» significa que nunca se crea una clave para revertir el valor, así que no existe el riesgo de que una clave se filtre junto con los datos y los desbloquee. Es un buen diseño.
Pero los métodos unidireccionales tienen un límite general. En lugar de revertir un valor, un atacante puede aplicar el mismo método a contraseñas comunes y comprobar si algún resultado coincide. Los métodos lentos de calcular o que usan una sal (un valor aleatorio añadido a cada contraseña) encarecen esa comparación, pero una contraseña como «1234abcd» está entre las primeras que se prueban con cualquier método.
Los avisos de CHAEVI no nombran el método específico, así que este sitio no valora su solidez. Para los usuarios, la conclusión es la misma en cualquier caso: la propia CHAEVI recomienda cambiar la contraseña, y las direcciones de correo electrónico nunca se cifraron. Cómo funcionan el hash y la sal se explica en cómo almacenar contraseñas de forma segura.
Lecciones para operadores de plataformas pequeñas
El primer aviso de CHAEVI dividió la filtración en cuatro grupos según la combinación de datos, declaró qué no recopila y enlazó juntas una página de consulta y una página para cambiar la contraseña. Permitir que los usuarios vean de inmediato «en qué grupo estoy» es un formato que otras plataformas pueden adoptar. A partir de aquí, este sitio resume tres acciones que los operadores pueden tomar antes de un incidente.
Separe los datos de historial de los datos de socios
Los datos con fecha y lugar (carga, trayectos, pagos) muestran dónde estuvo una persona y cuándo, una vez que se vinculan a los registros de socios. Revise la lista de tablas y marque cada tabla que aporte un lugar y una hora al cruzarse con el ID de socio, y establezca un periodo de conservación para cada una. Elimine el historial que supere el periodo necesario, o rompa su vínculo con el ID de socio. Cómo decidir qué datos no debe conservar en absoluto se explica en seis prioridades de seguridad para organizaciones.
Localice lo que queda en texto plano (sin cifrar), que suele ser la dirección de correo electrónico
Aunque los nombres y los números de contacto estén protegidos, como aquí, la dirección de correo electrónico usada como ID de acceso tiende a quedar en texto plano. Una vez filtrada, cada socio se convierte en objetivo de phishing, así que incluya en sus mensajes habituales la frase que añadiría a un aviso de filtración («nunca le pediremos su contraseña ni sus códigos de verificación por correo electrónico») y su dominio oficial de envío. Los ajustes que impiden que otros suplanten su dominio de envío se explican en cómo evitar la suplantación de correo con SPF, DKIM y DMARC.
Prepare con antelación la plantilla del aviso de filtración
Prepare de antemano una plantilla con espacios para los recuentos por tipo de filtración, los datos que no recopila, una página de consulta, un enlace para cambiar la contraseña, una línea de contacto de 24 horas y las autoridades a las que informó. Redactarlo desde cero el día del incidente invita a omisiones y a una redacción incoherente.
Opinión de este sitio: decir lo que NO se incluyó reduce la preocupación
Lo que más tiempo mantiene inquietos a los usuarios tras un aviso de filtración es lo que el aviso no menciona: «¿y qué pasa con mi historial de carga?». CHAEVI redujo esa preocupación con respecto a los números de registro de residente y a los datos de pago al afirmar claramente que no los recopila.
Para cualquier servicio que maneje datos de ubicación o de historial, este sitio considera que una línea separada que indique si los datos de historial se incluyeron es la forma más sencilla de reducir tanto las consultas de soporte como los daños secundarios.
Fuentes (registro público)
Los hechos de este artículo siguen los siguientes materiales públicos. No hemos especulado sobre métodos o causas de ataque no revelados.
- Aviso de CHAEVI, «개인정보 유출 사고 관련 안내 및 사과의 말씀» (Aviso y disculpa por el incidente de filtración de datos personales), 26 de julio de 2026 — chaevi.com
- Aviso de CHAEVI, «개인정보 유출 관련 추가 안내» (Aviso adicional sobre la filtración de datos personales), 30 de julio de 2026 — chaevi.com
- Noticia sobre el aviso — Boan News
- Oficinas de ayuda — Comité de Mediación en Disputas de Información Personal ／ Centro de Denuncias de Infracciones de Información Personal
Historial de actualizaciones
2026-09-30: Primera publicación, basada en el aviso de CHAEVI del 26 de julio y en su seguimiento del 30 de julio. Actualizaremos el artículo cuando se publiquen resultados sobre la filtración de enero de 2025 o un anuncio de la Comisión de Protección de Información Personal de Corea.
Lea a continuación
- Corea: cuatro filtraciones en bancos (octubre de 2026)
- Suplantación: qué deben hacer los usuarios de TVING tras la filtración ／ qué es el phishing ／ nociones básicas de seguridad en el smartphone
- Filtraciones en automoción y movilidad: qué deben hacer los socios de Times Car ／ qué deben hacer los socios de Cariteco
- Contraseñas: guía de gestores de contraseñas ／ hash y sal
- Operadores: seis prioridades de seguridad para organizaciones ／ SPF, DKIM y DMARC