Una publicación difundida este 8 de noviembre de 2026 por VECERT encendió una nueva alerta sobre Banco Pichincha. Según el reporte, un actor que se presenta como WhiteLotus asegura haber extraído información confidencial de la institución financiera ecuatoriana, incluyendo presuntos registros de clientes, tarjetas, sesiones de autenticación y material relacionado con servicios internos. El anuncio también menciona la posibilidad de negociar un acceso vinculado a SWIFT, la red de mensajería utilizada en pagos internacionales.
Hay un hecho que debe quedar claro desde la primera línea: la publicación es una denuncia de un presunto actor de amenaza, no una prueba pública de que el banco haya sufrido esa intrusión. Al momento de redactar esta nota no encontramos confirmación oficial de Banco Pichincha o de una autoridad ecuatoriana que valide el conjunto de afirmaciones sobre WhiteLotus, su alcance, las supuestas muestras o el vector SWIFT.
El origen de esta información es la alerta publicada por VECERT en X el 8 de noviembre de 2026. Los números y artefactos técnicos detallados a continuación son atribuciones de esa fuente; EMA no ha accedido a los sistemas bancarios, autenticado muestras ni realizado una pericia independiente de los archivos.
Qué afirma WhiteLotus
La publicación sostiene que el actor habría permanecido más de tres meses dentro de sistemas vinculados al banco y obtenido más de 100 MB de material distribuido en miles de archivos. Su clasificación menciona siete niveles de información, desde datos de clientes hasta supuestas trazas de operaciones internas.
Entre las alegaciones aparecen:
- Información financiera e identidad. Un supuesto volcado SQL de 104 archivos con números completos de tarjetas, identidades y nombres de titulares, además de 347 entradas relacionadas con solicitudes de tokens de Cash Management.
- Datos personales. Se describen 1.413 archivos con 65.290 registros supuestamente asociados a 7.683 identificaciones únicas. El listado incluiría nombres, direcciones, teléfonos, fechas de nacimiento y cuentas.
- Biometría. Se mencionan 123 archivos de una carpeta denominada
biometria_facephi/, con presuntas plantillas biométricas, fotografías y componentes de software. - Autenticación. El reporte enumera 2.840 archivos, incluidos 296 elementos descritos como JWT RS256, 122 supuestos tokens de sesión activos, exportaciones de contraseñas y referencias a intentos de password spraying.
- APIs y sistemas internos. El anuncio asegura disponer de respuestas de interfaces de programación, nombres de servidores internos, 271 archivos de claves públicas
.pem, recursos de una aplicación web y trazas de ejecución.
Ninguna de estas cifras debe interpretarse como un recuento comprobado de clientes afectados. Un mismo titular puede aparecer en numerosos registros; un archivo puede ser redundante, antiguo, sintético, público o proceder de un tercero. Sin evaluación forense, no es posible establecer autenticidad, procedencia ni vigencia.
SWIFT: la afirmación que exige más cautela
La referencia a SWIFT es probablemente el componente más delicado de la denuncia. Pero mencionar un supuesto vector de acceso o la intención de negociarlo no equivale a demostrar que la infraestructura SWIFT fue comprometida. Tampoco prueba que se hayan creado, alterado o enviado instrucciones de pago.
Para sostener una afirmación de ese calibre se necesitarían evidencias verificables de acceso, alcance, integridad de los sistemas involucrados y actividad transaccional, evaluadas por especialistas y las entidades competentes. El texto de la alerta, por sí solo, no proporciona esa confirmación.
Qué significan —y qué no significan— los artefactos técnicos
Algunos términos del anuncio pueden dar una impresión de certeza mayor que la que realmente permiten sus datos.
Las menciones a Banco Pichincha en foros de amenazas requieren verificación independiente antes de atribuir una filtración.
Un archivo .pem no implica necesariamente una clave privada comprometida. El reporte habla de claves públicas, que por diseño pueden distribuirse. Importa conocer su contenido y uso antes de llamarlas credenciales secretas.
La presencia de JWT no demuestra sesiones actualmente utilizables. Los tokens pueden estar vencidos, revocados, ser datos de prueba o carecer de permisos relevantes. El algoritmo RS256 describe una modalidad de firma, no acredita por sí mismo que un atacante pueda falsificar identidades.
Encontrar un SDK biométrico no prueba que una base biométrica haya sido extraída. Es necesario diferenciar código distribuible de plantillas biométricas reales, muestras personales y componentes instalados legítimamente.
Estas distinciones no restan gravedad a una posible exposición. Evitan que una denuncia no corroborada se transforme, por repetición, en una sentencia técnica.
Antecedentes: no confundir incidentes distintos
Banco Pichincha sí tuvo un incidente de ciberseguridad documentado en octubre de 2021. La Superintendencia de Bancos de Ecuador informó entonces sobre las actuaciones de supervisión, el monitoreo y la exigencia de una auditoría forense.
Ese antecedente no confirma la denuncia de noviembre de 2026. Tampoco permite atribuir a WhiteLotus el incidente anterior ni sostener que ambos episodios estén conectados.
En su memoria de sostenibilidad de 2025, la institución describió su gestión de riesgos y procesos de detección y respuesta ante ciberamenazas. Es documentación institucional de contexto; no constituye una respuesta al reporte publicado hoy.
Lo confirmado y lo pendiente
| Confirmado en fuentes abiertas | Sin verificar |
|---|---|
| VECERT difundió una alerta atribuyendo afirmaciones a WhiteLotus | Que WhiteLotus haya ingresado a sistemas del banco |
| La publicación incluye cifras y categorías específicas de presuntos datos | Que los archivos existan tal como se describen o sean auténticos |
| La alerta menciona un posible vector relacionado con SWIFT | Que exista acceso operativo a SWIFT o manipulación de pagos |
| Existe un antecedente oficial de otro incidente ocurrido en 2021 | Que dicho incidente tenga relación con la denuncia actual |
Qué deberían hacer los clientes
No hay evidencia pública suficiente para concluir que todas las cuentas o tarjetas estén comprometidas. Sin embargo, mantener medidas preventivas es razonable:
- Revisar movimientos y notificaciones desde la aplicación o el sitio oficial del banco, nunca desde enlaces recibidos en mensajes alarmistas.
- Activar las alertas de operaciones disponibles y reportar inmediatamente cargos no reconocidos por los canales oficiales.
- Utilizar contraseñas únicas y habilitar los mecanismos adicionales de autenticación que ofrezca la entidad.
- No entregar claves, códigos de verificación ni datos completos de tarjeta por teléfono, WhatsApp o formularios enviados por terceros.
- Desconfiar de supuestas herramientas que prometan comprobar si una cédula o tarjeta «aparece en la filtración» a cambio de datos personales.
Si se confirmara una exposición de credenciales o tarjetas de clientes, correspondería a la entidad y a las autoridades determinar su alcance y comunicar medidas específicas. No es necesario cancelar masivamente tarjetas por una publicación que todavía no ha sido corroborada.
En el caso de Banco Pichincha, una afirmación de un actor malicioso no equivale a evidencia de compromiso confirmado.
Qué deberían investigar los equipos de respuesta
Para un SOC o CSIRT, la prioridad sería preservar evidencia y comprobar las hipótesis, no asumir que toda la enumeración publicada es auténtica. Entre los controles a revisar figuran registros de acceso e identidad, integridad de sistemas críticos, gestión y revocación selectiva de sesiones, potenciales credenciales privadas realmente expuestas y telemetría de servicios internos. Una evaluación específica de los entornos de pagos internacionales permitiría descartar o confirmar cualquier relación con SWIFT.
La revocación generalizada de sesiones o la rotación indiscriminada de claves sin evaluación operativa también puede interrumpir servicios. Estas decisiones corresponden al equipo responsable de la respuesta al incidente.
El riesgo también está en cómo circula la información
Los foros de extorsión mezclan información auténtica, datos reciclados, muestras de terceros y afirmaciones diseñadas para ejercer presión. Una publicación muy detallada puede merecer investigación urgente, pero el nivel de detalle no reemplaza una validación independiente.
Esta noticia seguirá siendo una alerta en verificación mientras no se disponga de evidencia técnica corroborada o de un pronunciamiento oficial que permita establecer los hechos. EMA actualizará esta publicación si aparecen nuevas fuentes verificables.
Fuentes y trazabilidad
- VECERT / @vecertradar, publicación del 8 de noviembre de 2026 — fuente primaria de la alegación, no confirmación independiente.
- Superintendencia de Bancos: actuaciones ante el incidente de 2021 — antecedente histórico independiente.
- Banco Pichincha: informe anual y memoria 2025 — contexto institucional, anterior a la alerta.
- Lupa Media: cómo interpretar las alertas de VECERT — análisis sobre la necesidad de verificar independientemente ese tipo de reportes.
Nota editorial (8 de noviembre de 2026): la información sobre WhiteLotus permanece sin confirmación independiente. Este artículo no publica muestras, credenciales, números de tarjetas ni indicadores que identifiquen a personas.