Para: usuarios de Ricardo, el marketplace en línea suizo (compradores, vendedores y usuarios empresariales). Este artículo se basa en el anuncio oficial de la empresa matriz de Ricardo, SMG Swiss Marketplace Group, y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
usuarios de Ricardo, el marketplace en línea suizo (compradores, vendedores y usuarios empresariales).
- Confirmado hasta ahoraVer la tabla ↓
- Nombres, direcciones postales, teléfonos
- Nombres de empresa (usuarios empresariales)
- Escala
3 más
- Fecha de detección
- Corrección de la vulnerabilidad
- Notificación a las autoridades
- Aún sin confirmar
- Naturaleza de la vulnerabilidad
- Periodo del acceso no autorizado
- Si los datos expuestos se han publicado o usado indebidamente
1 más
- Cómo pueden comprobarlo los usuarios que no recibieron aviso
- Qué hacer ahoraVer los pasos ↓
- No responda a peticiones de datos de tarjeta ni de accesos al banco o a TWINT
- No abra enlaces; entre en Ricardo desde la app o un marcador
- Trate las cartas inesperadas sin usar los datos de contacto que incluyen
2 más
- Compruebe el aviso directo de Ricardo desde la app
- El anuncio no pide cambiar la contraseña
- Dónde verificarlo (fuente)Todas las fuentes ↓
- SMG Swiss Marketplace Group, «Ricardo fixes security vulnerability affecting user data» (9 de octubre de 2026; también en alemán y francés)
- Última comprobación
- A fecha del 31 de octubre de 2026
Próximos avisos y qué comprobamos
El anuncio del 9 de octubre no menciona planes de publicar una actualización. A fecha del 31 de octubre, no aparece ninguna actualización sobre este asunto en la lista de comunicados de prensa de SMG.
Qué deben hacer hoy los usuarios de Ricardo
No responda a peticiones de datos de tarjeta ni de accesos al banco o a TWINT
Con nombres y teléfonos juntos, las llamadas y los SMS que dicen venir del soporte de Ricardo o de la otra parte de una compraventa pueden parecer auténticos. En declaraciones a SRF, una portavoz de SMG pidió especial precaución con cartas, llamadas y mensajes SMS o de WhatsApp inesperados que soliciten datos sensibles como los de la tarjeta de crédito o los accesos al banco o a TWINT (una app suiza de pago móvil).
No responda a nadie que pida estos datos y cuelgue. Que quien llama conozca su nombre o su dirección no demuestra quién es.
No abra enlaces; entre en Ricardo desde la app o un marcador
No abra enlaces de mensajes que se hagan pasar por avisos de una compraventa o por solicitudes para «recibir su pago». Para comprobarlo, abra usted mismo la app de Ricardo o entre en el sitio desde un marcador (cómo detectarlos: ¿Qué es el phishing?).
Trate las cartas inesperadas sin usar los datos de contacto que incluyen
También se expusieron direcciones postales. Si llega una factura o un aviso que no reconoce, no use la URL, el código QR ni el teléfono que contiene; compruébelo con el contacto oficial que busque usted mismo. Es un consejo general; la empresa no ha dicho que se estén enviando cartas así.
Compruebe el aviso directo de Ricardo desde la app
La empresa dice que está informando directamente a los usuarios afectados sobre el incidente, sus implicaciones y las precauciones que pueden tomar. Si duda de que un aviso sea auténtico, compruébelo en la pantalla de Ricardo a la que llega desde la app o un marcador, no desde los enlaces del aviso.
El anuncio no pide cambiar la contraseña
La empresa afirma que las direcciones de correo electrónico y las contraseñas no se vieron afectadas. Si reutiliza la misma contraseña en otros servicios, revisarlo es una buena práctica en general, pero no es un paso que exija este incidente (consulte: Cómo funcionan los gestores de contraseñas y cómo elegir uno).
Qué pasó (según el anuncio de SMG Swiss Marketplace Group)
Lo siguiente se basa en el anuncio que SMG Swiss Marketplace Group publicó el 9 de octubre de 2026 (en inglés, alemán y francés).
7 de octubre de 2026
Ricardo detecta actividad sospechosa en sus servidores y pone en marcha de inmediato medidas técnicas para proteger sus sistemas.9 de octubre
SMG anuncia un acceso no autorizado a datos personales vinculados a pedidos y que la vulnerabilidad se ha corregido. Afirma que se expusieron datos personales relativos a unas 890.000 cuentas y que se ha notificado al FDPIC.A fecha del 31 de octubre
No aparece ninguna actualización sobre este asunto en la lista de comunicados de prensa de SMG.
Expuesto (unas 890.000 cuentas)
Nombre, dirección postal, teléfono. Nombre de empresa para usuarios empresariales
No afectado (empresa)
Correo electrónico y contraseña. Los datos de pago no se mencionan
Los datos expuestos son de teléfono y dirección postal, así que vigile en especial llamadas, SMS, apps de mensajería y cartas. Los correos fraudulentos siguen siendo posibles en general.
- Qué pasó
- Acceso no autorizado a datos personales vinculados a pedidos en la plataforma Ricardo
- Datos expuestos
- Nombres, direcciones postales y números de teléfono; nombres de empresa para usuarios empresariales. La empresa afirma que los datos expuestos se limitaron a estos
- No afectados (empresa)
- Direcciones de correo electrónico y contraseñas
- Escala
- Unas 890.000 cuentas de usuario
- Causa
- Una vulnerabilidad de seguridad que permitió el acceso; la empresa dice que está resuelta por completo. No se ha hecho pública su naturaleza
- Aviso a los usuarios
- Se informa directamente a los usuarios afectados sobre el incidente, sus implicaciones y las precauciones que pueden tomar
- Notificaciones
- FDPIC notificado. Están previstas una denuncia penal ante la policía y una comunicación al Centro Nacional de Ciberseguridad (NCSC)
Qué se sabe y qué no
Situación a fecha del 31 de octubre de 2026. Cuando haya una actualización, se actualizará la columna de estado.
| Elemento | Qué dice el anuncio | Estado |
|---|---|---|
| Nombres, direcciones postales, teléfonos | Expuestos en unas 890.000 cuentas | Filtración confirmada (empresa) |
| Nombres de empresa (usuarios empresariales) | Expuestos | Filtración confirmada (empresa) |
| Direcciones de correo electrónico | No afectadas | No incluidos (empresa) |
| Contraseñas | No afectadas | No incluidos (empresa) |
| Datos de pago (tarjetas, cuentas bancarias) | No se mencionan | No indicado |
| Escala | Unas 890.000 cuentas de usuario (no personas) | Confirmado (empresa) |
| Fecha de detección | 7 de octubre de 2026 | Confirmado (empresa) |
| Corrección de la vulnerabilidad | Resuelta por completo | Confirmado (empresa) |
| Naturaleza de la vulnerabilidad, periodo de acceso | No se indica | En investigación |
| Publicación o uso indebido de los datos | No se menciona. SRF informó de que una portavoz de SMG dijo a la agencia de noticias AWP que los datos nunca fueron de libre acceso y que hasta ahora no ha habido extorsión ni petición de rescate | No indicado |
| Notificación a las autoridades | FDPIC notificado; policía y NCSC previstos | Confirmado (empresa) |
Cómo leer esto: «no indicado» no significa «no ocurrió»
Los datos de pago y el uso indebido de los datos simplemente no se mencionan en el anuncio. Las direcciones y los teléfonos ya se han expuesto, así que actúe dando por hecho que pueden usarse más adelante en contactos fraudulentos.
Para qué pueden usarse nombres, direcciones y teléfonos
En general, combinaciones como estas pueden usarse indebidamente de las siguientes formas. Esto no significa que haya ocurrido aquí.
- Nombre + teléfono: llamadas o SMS que se hacen pasar por el soporte de Ricardo o por la otra parte de una compraventa, con el pretexto de «recibir su pago» o «verificar su cuenta», para obtener datos de tarjeta o accesos
- Nombre + dirección postal: cartas que se hacen pasar por facturas o avisos de reembolso y llevan a un sitio o un teléfono falsos
- Nombre de empresa + teléfono (usuarios empresariales): llamadas que se hacen pasar por un socio comercial o su personal y proponen cambiar los datos de pago
Un ejemplo anterior: en la filtración de datos de clientes de ENGIE, en la que se filtraron datos de contacto y números de contrato, la advertencia principal se refería a llamadas que se hacían pasar por la empresa. Este caso puede no seguir el mismo curso.
Para operadores: cuánto tiempo conservar los datos de contacto vinculados a pedidos
La causa no se ha hecho pública. Esta sección no evalúa la respuesta de Ricardo; es una comprobación general basada en los datos que se expusieron.
- Decida cuánto tiempo conserva las direcciones y los teléfonos vinculados a pedidos. Según el anuncio, los datos expuestos eran datos personales vinculados a pedidos. Decidir cuándo borrar, o mostrar menos, la dirección y el teléfono de un pedido ya completado reduce lo que puede quedar expuesto en una brecha.
- Diga a los usuarios lo que nunca les pide. Un aviso que indique «nunca pedimos datos de tarjeta ni accesos por teléfono o mensaje», enviado junto con el aviso directo, facilita que los usuarios detecten los contactos falsos.
Fuentes (registro público)
Los hechos de este artículo se basan en la información pública siguiente. No se especula sobre vías de intrusión ni métodos que no se hayan hecho públicos.
- SMG Swiss Marketplace Group, «Ricardo fixes security vulnerability affecting user data» (9 de octubre de 2026; también en alemán y francés) — swissmarketplace.group
- La misma, comunicado de prensa (PDF, 9 de octubre de 2026) — swissmarketplace.group
- SRF, ««Keine Erpressung» – Ricardo meldet Datenleck bei 890'000 Konten» (9 de octubre de 2026, en alemán). Fuente de la advertencia de la portavoz de SMG y de la declaración de que no hubo extorsión ni petición de rescate — srf.ch
Historial de actualizaciones
2026-10-31: Primera versión, basada en el anuncio de SMG Swiss Marketplace Group del 9 de octubre y en la información de SRF. A fecha del 31 de octubre, no aparece ninguna actualización sobre este asunto en la lista de comunicados de prensa de la empresa. Actualizaremos este artículo cuando haya novedades.
Lectura recomendada
- Caso del mismo tipo: Filtración de datos de clientes de ENGIE
- Detectar las estafas posteriores: ¿Qué es el phishing?
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026