Presunta filtración en BigMat España: qué afirma el grupo Aur0ra y qué no está confirmado
Un grupo de ransomware llamado Aur0ra asegura haber robado datos de Estrategias BigMat, la franquicia máster de BigMat en España, y los ha anunciado en su sitio de filtraciones. La empresa no lo ha confirmado y todas las cifras proceden de los atacantes. Esto es lo que se sabe, lo que no y qué lecciones deja.
Importante: es una afirmación, no un hecho probado
Todo lo que se atribuye a la filtración en este artículo es lo que dice el grupo atacante. No se ha verificado de forma independiente. Escudo Digital contactó con el departamento de comunicación de BigMat en España y, al publicar, no había recibido respuesta. No publicamos ningún dato personal.
1. Qué ha pasado
El 14 de octubre de 2026, el sitio de seguimiento Ransomware.live registró que el grupo Aur0ra había incluido a Estrategias BigMat S.L.U. en su página de filtraciones. Al día siguiente, Escudo Digital publicó la información. Según esa publicación, Aur0ra opera con doble extorsión: roba datos y amenaza con hacerlos públicos. Escudo Digital cifra entre 300 y 500 los trabajadores que podrían estar afectados, de más de 15 entidades del grupo empresarial, a partir de lo que cita el grupo.
2. Lo que afirma el grupo (sin verificar)
| Tipo de dato | Lo que dice el grupo |
|---|---|
| Nóminas | 624 archivos XML de nóminas SEPA (2022 a 2025) con nombres, DNI o NIE, IBAN e importes. |
| Seguridad Social | 20 bases de datos del sistema SILTRA, con afiliaciones, bases de cotización y registros laborales. |
| Prevención de riesgos laborales | Datos de más de 12 filiales: partes de accidentes, certificados médicos y evaluaciones de riesgos. |
| Fidelización de clientes | 2.690 tarjetas asociadas a DNI o NIF. |
| Hacienda | 888 notificaciones del Modelo 347 con identidad de clientes y proveedores e importes de operaciones. |
| Contabilidad | Cinco años de registros financieros internos: diarios, conciliaciones, pólizas, contratos de préstamo y facturación. |
Ransomware.live indica que la ficha incluye una captura de pantalla de la supuesta filtración y un elemento marcado como «redactado». No hay muestras públicas de los datos ni un volumen total.
3. Qué sabemos, qué no y qué son hipótesis
Consta en las fuentes consultadas
- Que el grupo Aur0ra ha publicado a Estrategias BigMat S.L.U. en su sitio de filtraciones.
- Que Ransomware.live lo registró el 14 de octubre de 2026 y Escudo Digital lo publicó el 15.
- Que, al publicar, BigMat no había respondido a la consulta de Escudo Digital.
No se sabe todavía
- Si la filtración es real, y si los datos publicados son auténticos y completos.
- Cómo habrían accedido los atacantes, y cuándo.
- Cuántas personas están realmente afectadas: el grupo habla de ficheros, no de personas.
- Si hay rescate exigido o negociación en curso, y si BigMat ha informado a la AEPD o a los afectados.
Hipótesis (sin confirmar)
- Hay tres escenarios posibles: que la afirmación sea cierta y completa, que sea cierta solo en parte, o que sea falsa o exagerada. Hoy no hay datos para decantarse.
- Los tipos de datos que cita el grupo (nóminas, Seguridad Social, prevención de riesgos) suelen concentrarse en los sistemas de personal y de gestoría. Es solo una observación general: no sabemos de dónde saldrían ni que BigMat los guarde así.
- Un grupo que anuncia a una víctima suele querer presionar para cobrar un rescate. Es una práctica habitual en la doble extorsión, no un dato sobre este caso.
4. Por qué te interesa aunque no seas BigMat
Más allá de si esta filtración se confirma, el caso ilustra un riesgo que afecta a cualquier empresa con empleados: los datos de personal son de los más delicados que se manejan (nóminas, IBAN, DNI, datos de salud laboral) y, según vimos en el informe de Zscaler sobre ransomware, los atacantes ya no solo cifran: roban los datos para extorsionar. Si te los roban, tener una copia de seguridad no evita la extorsión ni la filtración.
5. Qué haría una empresa en esta situación
Son recomendaciones generales nuestras, no un juicio sobre cómo actúa BigMat:
- 1
Verificar
Investigar con apoyo forense si el acceso ha existido, qué sistemas y qué datos se vieron afectados y desde cuándo. - 2
Contener
Cortar accesos, cambiar credenciales y revisar los accesos de proveedores como gestorías o servicios de nóminas. - 3
Evaluar la notificación
Si hay una brecha de datos personales con riesgo para las personas, el RGPD exige avisar a la AEPD en 72 horas desde que se tiene conocimiento y, si el riesgo es alto, a los afectados. - 4
Informar con claridad
A empleados, clientes y proveedores, con qué ha pasado, qué datos podrían estar afectados y qué deben vigilar. - 5
Prepararlo antes
Tener un plan de respuesta escrito y probado, con responsables y contactos, evita improvisar en las primeras horas.
6. Cómo proteger los datos de personal en tu empresa
- Limita quién puede ver nóminas y datos laborales, y revisa esos permisos cada cierto tiempo.
- Activa la verificación en dos pasos en los sistemas de personal y en los accesos remotos.
- Pide a la gestoría y a otros proveedores que acrediten qué medidas aplican y cómo te avisarían de un incidente.
- Mantén copias de seguridad fuera de la red y probadas, sabiendo que no sustituyen a la protección contra el robo de datos.
- Vigila lo que sale de tu red: una transferencia anómala de datos es una señal que conviene detectar cuanto antes.
Más en la guía RGPD y en la guía de ciberseguridad para PYMEs.
Preguntas frecuentes
¿Se han filtrado de verdad los datos de BigMat?+
No lo sabemos. El único origen de la información es el propio grupo atacante, y a fecha de esta noticia ni BigMat ni ninguna autoridad han confirmado la filtración. Tampoco hemos encontrado una verificación independiente.
Trabajo o he trabajado en BigMat, ¿qué debería hacer?+
Mientras no haya confirmación, lo prudente es vigilar los movimientos de tu cuenta bancaria, desconfiar de llamadas o correos que citen tu nómina, tu IBAN o datos de la empresa, y preguntar a tu empresa o a su responsable de protección de datos si has sido afectado. Son recomendaciones generales nuestras, no del medio que publicó la noticia.
¿Qué obligaciones tendría la empresa si se confirmara?+
Con carácter general, el RGPD exige evaluar la brecha y, si hay riesgo para las personas, notificarla a la AEPD en 72 horas desde que se tiene conocimiento, y avisar a los afectados cuando el riesgo sea alto. La valoración concreta corresponde a la empresa. Lo explicamos en la guía RGPD.
¿Dónde puedo consultar dudas sobre un posible fraude?+
INCIBE ofrece la Línea de Ayuda en Ciberseguridad, gratuita y confidencial, en el 017.
¿Sabes qué datos de tus empleados están más expuestos?
Te hacemos una auditoría gratuita y te decimos, sin tecnicismos, dónde están los puntos débiles y por dónde empezar a cerrarlos.
Solicitar auditoría gratuitaInformación revisada el 19 de octubre de 2026: no hemos encontrado ninguna respuesta pública de BigMat ni confirmación de las autoridades. Si confirman o desmienten la filtración, actualizaremos este artículo.