Una filtración de marzo deja una lección vigente: su empresa también responde por los datos que entrega a terceros
El incidente ocurrió meses atrás, pero la lección empresarial sigue completamente vigente. El 27 y 28 de marzo de 2026 se conoció que un proveedor externo de cobranza utilizado por Nu Colombia había sufrido un incidente de ciberseguridad que habría expuesto información de más de 30.000 clientes. No fue reportado como una vulneración directa de los sistemas centrales de Nu, ni significa que hoy exista un nuevo ataque contra la entidad. Cinco meses después, la pregunta útil ya no es alimentar la alarma, sino comprender qué ocurrió, qué hizo la compañía después y qué podemos aprender para proteger nuestras propias organizaciones. Porque una empresa puede tener buenos controles internos y seguir expuesta cuando entrega información a proveedores, contratistas o plataformas externas. La seguridad moderna no consiste en vivir con miedo; consiste en conocer nuestros riesgos, administrarlos y estar preparados para responder cuando algo falla. 👉 LEE NUESTRO BLOG...
Conviene comenzar poniendo las fechas en orden.
El 27 de marzo de 2026 Forbes Colombia informó que un proveedor externo de servicios de cobranza de Nu Colombia había sufrido una filtración que podría haber expuesto información de más de 30.000 clientes. Al día siguiente, 28 de marzo, La República publicó la información y explicó que Nu había confirmado el incidente ocurrido en una plataforma externa.
Por tanto, estamos hablando de un episodio conocido públicamente hace aproximadamente cinco meses, no de un hackeo ocurrido hoy, 1 de septiembre de 2026.
Esta precisión es importante.
Cuando escribimos sobre seguridad informática debemos tener mucho cuidado con el contexto temporal. Una noticia antigua que vuelve a circular sin fecha puede generar la impresión de que existe una nueva amenaza, producir preocupación innecesaria entre clientes y, paradójicamente, terminar perjudicando el propósito que debería tener la divulgación responsable de estos asuntos.
Nuestro objetivo desde TODO EN UNO.NET es diferente.
No buscamos provocar miedo.
Buscamos desarrollar criterio.
¿Qué ocurrió realmente?
Según la información publicada en marzo, la vulneración no se originó en la infraestructura tecnológica propia de Nu Colombia. El incidente afectó una plataforma externa operada por un proveedor contratado para actividades de recuperación de cartera.
La información que habría resultado comprometida incluía nombres completos, números de identificación, teléfonos, montos en mora, días de atraso y determinados detalles asociados con procesos de cobranza.
Esto también merece una precisión fundamental.
Nu informó que la filtración no comprometía claves, contraseñas ni información relacionada con productos de ahorro o depósitos. Asimismo, indicó que hasta ese momento no había identificado accesos no autorizados a su propia infraestructura tecnológica ni a la información financiera directa de sus clientes.
Es decir: no era correcto afirmar entonces que “hackearon Nubank” como si los sistemas centrales del banco hubieran sido penetrados, y tampoco sería correcto repetirlo ahora de esa manera.
Lo que sí ocurrió fue algo empresarialmente muy importante: información relacionada con clientes de Nu habría resultado expuesta como consecuencia de un incidente sufrido por un tercero que participaba en su cadena de servicios.
Y allí comienza la verdadera conversación.
¿Qué hizo Nu cuando conoció el incidente?
De acuerdo con la comunicación conocida en marzo, Nu manifestó que activó inmediatamente sus protocolos de seguridad y comenzó una investigación junto con el proveedor para determinar el alcance de lo sucedido, coordinando también actuaciones con las autoridades competentes.
Posteriormente, ante comentarios públicos sobre el incidente, Nu reiteró que había activado sus protocolos de respuesta, iniciado una investigación detallada con el proveedor y las autoridades, y que mantenía monitoreo permanente sobre sus servicios.
Ese punto es importante porque una organización responsable no solamente debe intentar impedir que exista una vulneración.
También debe tener capacidad de reaccionar.
Detectar.
Contener.
Investigar.
Determinar qué información pudo verse afectada.
Coordinar con terceros.
Comunicar.
Corregir.
Y mantener vigilancia después del incidente.
Desde la experiencia empresarial, una de las diferencias más importantes entre una organización madura y otra que todavía tiene una gestión digital improvisada no consiste en afirmar que jamás tendrá problemas.
Consiste en saber qué hacer cuando aparecen.
¿Y qué ha pasado desde marzo hasta hoy?
Aquí debemos ser igualmente responsables.
Al revisar la información pública disponible hasta el 1 de septiembre de 2026, no encontré un comunicado público posterior que presente una investigación final detallada del incidente, identifique públicamente todas sus causas, establezca un balance definitivo adicional de afectados o anuncie públicamente el cierre formal del caso.
Tampoco encontré, en las fuentes oficiales consultadas de la Superintendencia Financiera o de la Superintendencia de Industria y Comercio, una resolución pública específica que permita afirmar que el episodio terminó en una sanción relacionada con esta filtración.
Por tanto, no sería responsable inventar una conclusión que las fuentes públicas no permiten sostener.
Lo que sí puede verificarse es que Nu continuó operando, creciendo y desarrollando iniciativas relacionadas con seguridad y atención a sus usuarios después de marzo.
En mayo, la compañía anunció que había alcanzado cinco millones de clientes en Colombia y que proyectaba invertir alrededor de $473.000 millones durante 2026, incluyendo fortalecimiento tecnológico, equipo, productos y expansión de su operación.
Es importante no presentar esa inversión como consecuencia directa de la filtración, porque Nu no la anunció de esa forma.
Pero sí proporciona contexto: después del incidente, la organización continuó fortaleciendo y expandiendo una operación digital de gran escala en Colombia.
Además, actualmente Nu mantiene canales específicos de seguridad y asistencia para clientes que sospechan fraude, pérdida de acceso, robo o compromiso de sus productos financieros. El 21 de agosto de 2026, por ejemplo, publicó nuevamente orientaciones para que sus usuarios actúen rápidamente ante transacciones sospechosas, congelen productos afectados, revisen movimientos y contacten a la entidad.
Esto tampoco demuestra por sí solo qué correctivos técnicos fueron adoptados específicamente con el proveedor afectado en marzo.
Sí demuestra algo distinto: la seguridad continúa siendo un componente activo de la relación entre la entidad y sus clientes.
Y esta diferencia entre lo que sabemos y lo que suponemos es esencial.
En seguridad de la información, exagerar no ayuda.
Minimizar tampoco.
La credibilidad nace de decir exactamente qué está confirmado, qué continúa sin información pública suficiente y qué enseñanza podemos obtener.
Si su empresa comparte información con proveedores y no tiene claridad sobre quién accede, qué conserva, durante cuánto tiempo y bajo qué controles, este tipo de incidentes debería servir para revisar su propia exposición. Ese diagnóstico debe comenzar antes de comprar más tecnología. En TODO EN UNO.NET podemos acompañarlo desde una perspectiva empresarial, tecnológica y de protección de datos: https://t.mtrbio.com/todo-en-unonet
El problema no es Nu. El problema es mucho más grande.
Sería muy fácil terminar este análisis diciendo que una entidad financiera sufrió un incidente y que debemos protegernos de los hackers.
Eso aportaría muy poco.
Lo verdaderamente importante es comprender que prácticamente todas las organizaciones modernas dependen de terceros.
Un proveedor administra la nómina.
Otro ofrece almacenamiento en la nube.
Otro gestiona el CRM.
Otro presta soporte técnico.
Otro procesa pagos.
Otro realiza cobranza.
Otro distribuye correos.
Otro administra copias de seguridad.
Otro proporciona inteligencia artificial.
Otro hospeda la página web.
Y cada relación puede implicar acceso a información.
La empresa puede tener excelentes controles internos y, sin embargo, compartir una base de datos con un tercero cuya seguridad desconoce.
Eso modifica completamente nuestra forma de entender la protección de datos.
Durante años preguntábamos:
“¿Mi empresa está protegida?”
Hoy debemos añadir:
“¿Están adecuadamente controlados aquellos a quienes mi empresa entrega información?”
Porque el perímetro empresarial ya no termina en nuestras oficinas.
Ni siquiera termina en nuestros servidores.
Termina donde termina nuestra información.
Un contrato no transfiere la confianza
Cuando una organización terceriza un proceso, puede transferir determinadas actividades operativas.
Pero hay algo que no entrega fácilmente: la confianza depositada por sus clientes.
El cliente normalmente mantiene su relación con la marca principal.
No conoce necesariamente todos los proveedores, plataformas, subcontratistas e infraestructuras que intervienen detrás de una operación.
Por eso, cuando ocurre una filtración en la cadena, rara vez piensa primero en la arquitectura contractual existente entre las empresas.
Piensa:
“¿Qué pasó con mis datos?”
Esa sencilla pregunta explica por qué la protección de la información dejó de ser exclusivamente un asunto del departamento de sistemas.
Es un asunto de gobierno corporativo.
Tiene implicaciones jurídicas.
Administrativas.
Operativas.
Comerciales.
Reputacionales.
Y humanas.
En Colombia, la protección de datos personales está regulada, entre otras disposiciones, por la Ley 1581 de 2012. En su política vigente, Nu contempla precisamente la posibilidad de transmitir datos a empresas de cobranza y otros encargados del tratamiento, y establece condiciones contractuales relacionadas con las obligaciones que deben asumir esos terceros.
Eso nos permite extraer otra lección empresarial.
Tener contrato es necesario.
Pero el contrato no reemplaza el control.
Una cláusula puede establecer obligaciones de confidencialidad y seguridad.
La dirección empresarial debe preguntarse adicionalmente:
¿Se están cumpliendo?
¿Se auditan?
¿Sabemos qué información recibió el proveedor?
¿Sabemos dónde la conserva?
¿Tiene subcontratistas?
¿Quiénes pueden acceder?
¿Se eliminan los datos que dejan de ser necesarios?
¿Existe un procedimiento para notificarnos rápidamente si ocurre una anomalía?
¿Sabemos cómo reaccionar?
Estas preguntas no deberían realizarse después de una filtración.
Deberían formularse antes de entregar la primera base de datos.
La confianza digital necesita arquitectura
Desde TODO EN UNO.NET entendemos este desafío mediante una Arquitectura de Protección de Datos y Confianza Digital (APDP).
La palabra importante aquí es arquitectura.
Porque proteger información no consiste simplemente en instalar herramientas.
Consiste en relacionar correctamente personas, procesos, contratos, tecnología, responsabilidades y controles.
Una empresa puede tener antivirus y seguir siendo vulnerable.
Puede utilizar autenticación multifactor y conservar bases de datos innecesarias.
Puede tener excelentes servidores y permitir que colaboradores envíen información sensible por canales personales.
Puede contratar proveedores reconocidos y nunca revisar sus accesos.
Puede tener política de tratamiento de datos y desconocer cuántas copias de esa información existen realmente.
Ese tipo de contradicciones es mucho más común de lo que parece.
Por eso nuestra filosofía sigue teniendo especial vigencia:
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
La seguridad tampoco debe implementarse por apariencia.
Debe cumplir una función concreta.
Reducir exposición.
Controlar acceso.
Asegurar continuidad.
Detectar anomalías.
Facilitar respuesta.
Proteger a las personas.
Preservar confianza.
Un buen sistema de seguridad no es necesariamente el que tiene más herramientas.
Es el que conoce mejor aquello que necesita proteger.
La pregunta que muchas empresas todavía no pueden responder
Hay algo que suelo considerar especialmente preocupante.
Muchas organizaciones tienen un inventario exacto de computadores, escritorios, vehículos, impresoras y teléfonos.
Pero pregúnteles dónde están todos los datos de sus clientes y la respuesta comienza a volverse difusa.
Están en el servidor.
En la nube.
En el CRM.
En archivos de Excel.
En computadores de empleados.
En aplicaciones.
En copias de seguridad.
En sistemas de proveedores.
En correos.
Quizás en cuentas personales.
Quizás en plataformas que alguien contrató hace varios años.
Esa dispersión convierte la información en un activo difícil de gobernar.
Y no podemos proteger aquello cuya ubicación desconocemos.
El primer paso no debería ser comprar.
Debería ser VER.
Comprender realmente cómo circula la información.
Después debemos PENSAR.
Determinar qué riesgos son aceptables, cuáles deben corregirse y qué controles tienen verdadero sentido.
Y finalmente HACER.
Implementar las medidas, asignar responsabilidades, capacitar a las personas, verificar a los proveedores y medir resultados.
La seguridad empresarial no comienza con miedo.
Comienza con conocimiento.
Si una organización quiere saber dónde está realmente su mayor vulnerabilidad, conviene estudiar conjuntamente sus procesos, proveedores, tecnología, obligaciones y comportamiento humano. No todas las empresas necesitan las mismas herramientas; todas necesitan claridad. Puede iniciar ese análisis con TODO EN UNO.NET en https://t.mtrbio.com/todo-en-unonet
¿Qué debería revisar hoy un empresario?
No porque Nu haya sufrido un nuevo incidente.
Precisamente porque han pasado meses desde aquel episodio y podemos observarlo con serenidad.
Revise quiénes reciben información de su organización.
No solamente los grandes proveedores.
También contratistas, consultores, software especializado, herramientas gratuitas y servicios en la nube.
Determine qué datos necesita realmente cada uno.
El hecho de que técnicamente podamos entregar una base completa no significa que debamos hacerlo.
Revise los permisos.
Una persona o proveedor debería acceder exclusivamente a la información necesaria para cumplir su función.
Y durante el tiempo estrictamente necesario.
Revise contratos y procedimientos.
No solamente debe quedar establecido qué puede hacer un proveedor con los datos.
También qué debe hacer cuando termina el servicio y cómo debe responder ante un incidente.
Revise la capacidad de reacción.
Si mañana un proveedor le informa que perdió información, ¿quién toma el control dentro de su empresa?
¿Tecnología?
¿Gerencia?
¿Legal?
¿Comunicaciones?
¿Todos?
Si nadie lo sabe, ya existe un problema organizacional.
Revise también la capacitación.
Porque la información filtrada puede convertirse posteriormente en materia prima para phishing, suplantaciones y engaños mucho más convincentes.
Un delincuente que conoce nombre, identificación, teléfono y algún contexto de una obligación puede construir mensajes que parecen legítimos.
Por eso las personas siguen siendo parte fundamental de cualquier estrategia de protección.
Y ahora debemos añadir la inteligencia artificial
Existe un nuevo tercero entrando silenciosamente en muchas organizaciones.
Las herramientas de inteligencia artificial.
Un empleado puede copiar un contrato para resumirlo.
Subir una hoja de cálculo para analizarla.
Introducir información de clientes para redactar una respuesta.
Compartir datos comerciales para generar una propuesta.
Desde su perspectiva está aumentando productividad.
Desde la perspectiva empresarial quizá esté transfiriendo información a un servicio externo que la organización nunca evaluó.
La respuesta tampoco consiste necesariamente en prohibir.
Consiste en gobernar.
¿Qué herramientas están autorizadas?
¿Qué datos pueden utilizarse?
¿Qué información debe anonimizarse?
¿Qué cuentas deben ser corporativas?
¿Qué procesos requieren autorización?
¿Quién verifica el cumplimiento?
La innovación que no establece límites adecuados puede crear nuevos riesgos precisamente mientras intenta resolver problemas antiguos.
No convierta una noticia pasada en miedo presente
Esta es quizá la principal reflexión que quiero dejar.
El incidente relacionado con el proveedor de Nu Colombia pertenece a marzo de 2026.
No existe fundamento, con la información pública revisada hasta el 1 de septiembre de 2026, para presentarlo como un nuevo ataque ocurrido hoy.
Nu informó entonces que sus sistemas propios no habían sido comprometidos, activó protocolos, investigó junto con el proveedor y las autoridades y mantuvo monitoreo de sus servicios.
Hasta ahora no encontré información pública suficiente para afirmar que exista un informe final detallado sobre aquel incidente.
Eso es lo que responsablemente podemos decir.
Pero precisamente porque ya no estamos en las primeras horas de una crisis podemos mirar el caso con mucha más utilidad.
No preguntándonos:
“¿Quién será el próximo?”
Sino:
“¿Qué debemos hacer nosotros para estar mejor preparados?”
Ese cambio elimina el miedo y coloca la responsabilidad donde corresponde.
En la gestión.
En la prevención.
En el conocimiento.
En el gobierno.
En la capacidad de responder.
Una empresa digitalmente madura no promete que jamás tendrá un incidente.
Promete algo mucho más serio: que conoce sus activos, controla razonablemente sus riesgos, selecciona cuidadosamente a sus proveedores, protege la información que recibe y está preparada para actuar cuando algo inesperado ocurre.
Esa es la verdadera confianza digital.
Y probablemente sea una de las grandes responsabilidades empresariales de nuestra época.
La noticia de marzo terminará desapareciendo de los titulares.
La necesidad de proteger los datos no.
Cada empresario debería aprovechar episodios como este no para alarmarse, sino para hacerse mejores preguntas.
¿Sé dónde están mis datos?
¿Sé quién puede utilizarlos?
¿Sé qué proveedores dependen de ellos?
¿Sé qué harán si sufren un incidente?
¿Y sabría mi empresa cómo actuar mañana?
Si alguna de esas respuestas no es clara, ahí existe una oportunidad para fortalecer la organización. En TODO EN UNO.NET ayudamos precisamente a convertir esas preguntas en decisiones funcionales, proporcionales al riesgo y aplicables a la realidad de cada empresa. Puede conocer nuestro enfoque y conversar con nosotros en https://t.mtrbio.com/todo-en-unonet
Proteger información no significa vivir esperando un ataque.
Significa construir una empresa que comprende el valor de lo que administra.
Porque detrás de cada registro no existe simplemente una fila en una base de datos.
Existe una persona que confió.
Y proteger esa confianza también es administrar bien.