California registra brecha en Baanx US Corp.

California publicó una muestra del aviso de notificación de brecha presentado por Baanx US Corp. y registró como fecha conocida del incidente el 23 de septiembre de 2026. En paralelo, una serie de análisis citados por fuentes externas sostiene que hubo dos vías de acceso no autorizado, una mediante un proveedor externo y otra a través de un sistema administrativo interno, aunque esa versión figura como no confirmada oficialmente en el material disponible.

¿Qué informó California sobre Baanx?

La Fiscalía General de California difundió una muestra del aviso de notificación de brecha presentado por Baanx US Corp. y dejó constancia de la fecha conocida del incidente. Ese registro oficial ubica el hecho el 23 de septiembre de 2026, según el documento publicado por la Cybercrime Section.

El aviso se suma a reportes previos que analizaron la notificación de Baanx y describieron el caso como una exposición de información de usuarios en Estados Unidos. Sin embargo, el dato oficial que aparece en la base de California es la existencia del aviso y la fecha conocida del incidente, no un detalle técnico ampliado sobre el alcance completo del compromiso.

¿Qué dicen los análisis sobre el acceso no autorizado?

Según fuentes que analizaron el aviso, Baanx habría identificado dos caminos de acceso no autorizado, uno vinculado con un proveedor externo y otro con un sistema administrativo interno. Esa interpretación proviene de Cypro y se mantiene como una atribución no confirmada oficialmente en el material disponible.

La misma fuente señaló que Baanx dijo no haber encontrado evidencia de acceso a fondos de clientes al momento de la notificación. DaPeer, por su parte, afirmó que la empresa restableció contraseñas y la autenticación de dos factores de las cuentas Crypto Life afectadas, además de ofrecer 24 meses de protección de identidad y monitoreo crediticio mediante Experian IdentityWorks.

¿Qué alcance tiene el material disponible?

El expediente público disponible permite confirmar la existencia del aviso y la fecha conocida del incidente, pero no aporta una confirmación oficial más amplia sobre el mecanismo exacto del acceso o sobre el impacto final en clientes. Los detalles de explotación, respuesta interna y medidas de mitigación aparecen en análisis atribuidos a terceros, no en la notificación oficial citada en el material.

En el mismo conjunto de fuentes, KELA reportó además una infraestructura activa de phishing con 248 dominios fraudulentos vinculados a 189 bancos y servicios financieros estadounidenses. Esa operación usaba sitios clonados y páginas falsas de cuenta suspendida para dificultar la detección y mantener online los sitios de fraude.