PcComponentes: más de 16 millones de cuentas filtradas con nombre, DNI, facturas e incluso información bancaria

Estigal · Jan 21, 2026

PcComponentes emite un comunicado y tranquiliza a sus clientes, pero advierte: cambia tu contraseña

Hace unas horas se hizo viral en redes sociales que, presumiblemente, PcComponentes había sido víctima de un ciberataque. No obstante, la compañía ha querido emitir un comunicado explicando con todo tipo de detalles que ha pasado, en qué nos afecta y qué medidas debemos tomar.

El comunicado de PcComponentes aclara que no han sufrido una brecha de seguridad

Para ponernos en contexto, la pasada noche apareció la información de que más de 16 millones de personas se habían visto afectadas por un ciberataque producido contra PcComponentes. Al parecer, datos como DNI, correos o cuentas bancarias de los usuarios habrían caído en manos de un grupo de hackers que atacó a una de las tiendas de tecnología más importantes del país.

Sin embargo, PcComponentes ha desmentido esta información a través de un comunicado. Según la tienda, no existe constancia alguna de que PcComponentes haya sufrido una brecha de seguridad en sus sistemas. Explican que lo ocurrido realmente ha sido un fenómeno conocido como credential stuffing.

Este fenómeno ocurre cuando un tercero utiliza direcciones de emails y contraseñas obtenidas a partir de filtraciones de seguridad ocurridas en base de datos comprometidas, ajenas a la web correspondiente. Para poneros un ejemplo claro, es lo que ocurre cuando se accede a los datos de Google, y se tiene acceso a las credenciales que guardamos para entrar en diferentes webs o plataformas. De ahí la importancia de rechazar los mensajes de «recordar contraseña» de los navegadores.

Los 5 puntos clave del comunicado

PcComponentes ha querido resumir todo en 5 puntos clave que os dejamos a continuación:

«No se ha producido un acceso ilegítimo a la base de datos ni a los sistemas internos de PcComponentes.
La cifra de 16 millones de clientes supuestamente afectados es falsa, ya que el número de cuentas activas en PcComponentes es marcadamente inferior. Asimismo, el acceso ilegítimo no ha sido masivo, es decir, únicamente algunos clientes se han visto afectados.
Los datos bancarios no se han visto comprometidos en ningún caso dado que PcComponentes no los almacena. PcComponentes solo conserva un código de seguridad (token) que sirve para identificar el pago, pero que no permite ver la tarjeta ni realizar cargos por sí solo. Ese código no tiene valor fuera del sistema de pago y no puede usarse de forma fraudulenta. Por este motivo, no existe riesgo de robo de datos bancarios. Tus datos financieros están protegidos en todo momento.
Las contraseñas de clientes nunca se almacenan en la base de datos de PcComponentes. En su lugar, se convierte en un código secreto y cifrado (‘hash’). Este código es irreversible, lo que significa que ni nosotros ni nadie más puede ver tu contraseña original.
Las categorías de datos afectados son: nombre, apellidos, DNI (en los supuestos en los que el cliente lo haya introducido), dirección, IP, correo electrónico y teléfono.»

Ante esta situación, el minorista ha tomado la decisión de aplicar una serie de medidas para minimizar el impacto de este problema. Entre ellas, se implantado un CAPTHCHA en el proceso de inicio de sesión, para evitar bloqueos perpetrados por bots o scripts. Además, se deberá activar de manera obligatoria un segundo factor de autenticación (2FA). Y por último, se han invalidado todas las sesiones activas actuales, para que tengamos que volver a loguearnos.

¿Qué puedo hacer para evitar el credential stuffing?

Aunque esto es algo general, en PcComponentes ofrecen 4 consejos que pueden servirnos de ayuda para evitar caer en incidencias como la que ha afectado a algunas de sus cuentas activas. Entre ellas, se destaca lo siguiente:

Utilizar contraseñas única para cada servicio. Si reutilizamos la misma contraseña para todos los sites de internet, nos exponemos a un gran riesgo de sufrir este problema. Una solución es utilizar un gestor de contraseñas.
Asegurarnos de tener una contraseña segura. Para ello, esta debe incluir mayúsculas y minúsculas, números y símbolos especiales, además de tener una buena longitud.
Cambiar datos directamente a través de PcComponentes. Si necesitamos modificar algún aspecto de un pedido, nos recomiendan hacerlo directamente a través de la web oficial.
Evitar el phishing. No hagáis clic en enlaces sospechosos, ni siquiera si provienen de números que a priori podrían parecer reales. Estas prácticas cada vez están más depuradas y solo tienen como intención hackear nuestros dispositivos.

Quizás te pueda interesar una configuración de PC entusiasta.

Hoy en día, todo el mundo es vulnerable a sufrir un ataque de este tipo. Por esa razón, los consejos anteriores deberían de ser innegociables para todo el mundo.

PcComponentes emite un comunicado y tranquiliza a sus clientes, pero advierte: cambia tu contraseña

Hace unas horas se hizo viral en redes sociales que, presumiblemente, PcComponentes había sido víctima de un ciberataque. No obstante, la compañía ha

www.profesionalreview.com

Estigal · Jan 21, 2026

«PcComponentes ha mentido y aquí tengo las pruebas»: El hacker desmiente el comunicado

En la noche de ayer anunciábamos la filtración de una base de datos de PcComponentes, y con ella, los datos personales de hasta 16,3 millones de cuentas. No fue hasta el mediodía de hoy que PcComponentes lanzó un comunicado bastante escueto y confuso. Si bien por un lado decían que "no se ha producido un acceso ilegítimo a nuestras bases de datos ni a nuestros sistemas internos", terminaban indicando que "los datos afectados son nombre, apellidos, DNI, dirección, IP, correo electrónico y teléfono". Confirmando así que se había sustraído información. Si bien fue algo que nosotros mismos expresábamos en el email de respuesta a la nota de prensa, nunca nos respondieron nada al respecto. Pero bueno, nosotros ya sabíamos que la base de datos se había filtrado. Es más, me hicieron llegar todos mis datos personales al filtrar la información buscando algún email de "elchapuzas".

Y es que el hacker ruso daghetiaw se ha hecho eco de que PcComponentes ha negado la filtración de la información. Y por desgracia para PcComponentes, este hacker ha liberado muchísima información para confirmar su filtración. Incluso filtrando los los email de acceso y contraseña de sus trabajadores para información tan sensible como el sistema de fichajes para lo empleados, el panel de administración, hasta el sistema interno que tienen para los seguimientos (tracking) de los pedidos de los usuarios.

daghetiaw desmiente a PcComponentes y su filtración: "Te están mintiendo, aquí está la prueba"

Para poner un poco de orden entre tanto caos, PcComponentes publicó un comunicado en el que defendía que no había indicios de una brecha en sus sistemas, y atribuía lo ocurrido a un problema de credential stuffing (reutilización de combinaciones email/contraseña obtenidas de filtraciones ajenas). En ese mismo texto, pese a negar un acceso a sus bases de datos, acababa enumerando las categorías de datos potencialmente expuestas tras el robo de la base de datos (nombre, apellidos, DNI, dirección, IP, email y teléfono). Tras ello, anunció el despliegue de medidas de seguridad como el CAPTCHA, 2FA obligatorio e invalidación de sesiones.

Tras esto, daghetiaw acusó a PcComponentes de “mentir” en su comunicado y afirma que tuvo acceso directo a paneles internos (administración, soporte y otras herramientas de gestión). Recordando que la filtración también mencionaba haber accedido a todos los chats de soporte. Como prueba, lanzó un montón de capturas de pantalla y, algo mucho más grave, las credenciales internas (correos corporativos y contraseñas) y referencias a accesos a herramientas relacionadas con gestión, logística, Recursos Humanos/fichajes y portales internos (además de servicios de terceros que formarían parte del ecosistema, como el de tracking de la empresa de logística CTT Express). También sostiene que habría fallos de seguridad adicionales, mencionando APIs supuestamente sin la protección adecuada y hasta un XSS en un portal de empleado. Evidentemente, no podemos ni reproducir las credenciales ni enlaces.

Todo esto no prueba por sí solo que la filtración masiva de “16,3 millones” sea exactamente como se describió inicialmente. Es más, PcComponentes se refirió a esta cifra como inferior en número de "usuarios activos", pero no cuentas como tal. Tras la declaración oficial de PcComponentes esto ahora ha empeorado. No estaríamos hablando únicamente de accesos por reutilización de contraseñas, sino de un escenario en el que el atacante intenta demostrar el acceso a sistemas internos y cuentas corporativas, justo lo contrario de lo que PcComponentes sostuvo públicamente.

Para los usuarios nada cambia, para la tienda de informática, solo empeora

Esta confirmación, para ti, no cambia nada. Alguien podrá tener acceso a tu información personal para realizar una suplantación de identidad con tus datos de registro en PcComponentes. Descuida, tus datos seguro que ya habían sido filtrados anteriormente por Endesa u otras muchas compañías que han sufrido las mismas vulnerabilidades. Seguirás recibiendo llamadas, SMS y emails fraudulentos.

Ahora bien, para PcComponentes solo nace un nuevo problema 24 horas después de estallar la bomba de la filtración. Estas información, que por las imágenes y todo los detalles que hay, se ven muy legítimas (ese usuario ya había filtrado en el pasado información relevante de compañías como MediaMarkt o Panrest -un símil de Glovo o Uber Eats en Polonia-). Además de ser un reputado miembro de estos foros de filtración de información. Mismo foro donde salieron las filtraciones de clientes de Endesa, y de prácticamente todas las empresas, gobiernos, escuelas, etc.

Tras esta información, es lógico que si no lo habían hecho ya, PcComponentes haya iniciado una rotación urgente de credenciales, una revisión forense y, si procede, notificaciones regulatorias y nuevamente a afectados. De no ser así, ahora PcComponentes tendrá que desmentir esta nueva información técnicamente y demostrarlo con hechos verificables. El hacker indica que los trabajadores han dejado muchos agujeros, incluso teniendo acceso a cuentas de Facebook y X. Tras esto, el hacker ha sido bastante claro:

"Hola, hoy vamos a hablar de Pccomponentes.com, que niega la filtración de datos. Cuando mientes, tienes que prepararte para que salga a la luz la verdad. Por desgracia para ti, tengo todas las pruebas. Tuve acceso a todos tus paneles de administración, así como a tu servicio de asistencia. ¿Crees que ponerlo localmente (localhost) con una configuración OpenVPN te va a salvar? Por desgracia, no tienes ninguna habilidad".

"Buena suerte, tus clientes ya no confiarán en ti. Sonríe. ¿Qué otra mentira vas a inventarte ahora? Siempre estaré aquí para destruirte y desenmascarar tus mentiras. Estoy esperando tu respuesta para destruirte aún más".

"PcComponentes ha mentido y aquí tengo las pruebas": El hacker desmiente el comunicado

El hacker de la filtración de la base de datos de PcComponentes se pronuncia: "han mentido en su comunicado" y trae las pruebas.

elchapuzasinformatico.com

PcComponentes: más de 16 millones de cuentas filtradas con nombre, DNI, facturas e incluso información bancaria

Base de datos de PcComponentes filtrada: esta es toda la información oficial tuya que se ha filtrado

PcComponentes tiene 72 horas para notificar a la AEPD y avisar a los usuarios de la filtración

Realmente PcComponentes ya tenía una vulnerabilidad desde hace años